Investigation & transformation numériques

De l’anonymat sur Internet

Beaucoup de débats ces dernières années, ces derniers mois et ces derniers jours sur l’anonymat sur Internet. Ce n’est pas un problème nouveau, que je vous propose de traiter sous trois angles: du point de vue de l’usager qui souhaite rester anonyme sur Internet, de celui qui observe les anonymes et du point de vue de l’enquête judiciaire.

Du point de vue de l’usager qui souhaite rester anonyme

Plutôt que de limiter le problème à la distinction anonymat / pseudonymat (et vous verrez plus bas que la loi reconnaît les deux notions qui recouvrent deux étapes distinctes dans la démarche d’anonymisation), je vous propose de prendre un peu de recul sur l’ensemble des questions que peut se poser un usager lambda dans son usage de l’Internet:

  1. est-ce que le site Web (ou tout autre service) connaît mon identité, a besoin de connaître mon identité, ou toutes données relatives à ma personne ?
  2. de façon générale, est-ce que je peux être sur Internet comme dans la rue, un anonyme parmi les autres ?
  3. est-ce que je peux m’exprimer librement si j’utilise mon nom ?
  4. est-ce que les autres ont besoin de connaître mon nom quand je m’exprime sur Internet ?
  5. est-ce que je peux rester anonyme quand j’échange sur ce site de jeux en ligne où je ne fais que me divertir avec les autres ? sur ce site de rencontres ? sur ce site médical ?…

Dans toutes ces questions, on distingue deux problèmes: l’anonymat par rapport au service, au prestataire auquel on se connecte, et l’anonymat par rapport aux autres (ceux avec qui j’échange, ceux qui peuvent consulter ces échanges ou les informations que je publie).

S’agissant de l’identité vis-à-vis d’un service Internet simplement visité, consulté, les données collectées par le prestataire sont régies actuellement par les dispositions du règlement général sur la protection des données personnelles (RGPD), et les modalités de collecte sont directes (informations fournies explicitement par l’utilisateur) ou indirectes (les fameux cookies notamment qui permettent de croiser une identité ou d’autres données collectées par un tiers avec la navigation sur le site). Laissons de côté ces questions qui ne sont pas l’objet principal des débats qui nous amènent à ce billet, mais qu’il faut toujours conserver à l’esprit quand on parle d’anonymat sur Internet.

En matière de publicité de l’identité lorsque l’on publie un contenu sur Internet, la loi pour la confiance dans l’économie numérique est claire (j’en parlais en 2013 sur ce même blog, le temps passe vite) – même si elle n’est pas totalement adaptée au format des médias sociaux – notamment en matière d’édition d’un service de communication au public en ligne (un site Web, un blog…) :

  • si on publie à titre professionnel (indépendant ou au travers d’une entreprise notamment), il faut mettre à disposition les informations d’identité de la personne ou de l’entreprise, ainsi que de l’hébergeur;
  • si on publie à titre purement personnel (comme le présent blog), il faut a minima avoir communiqué ces informations à son hébergeur, et la loi parle explicitement ici de la possibilité ainsi donnée de « préserver son anonymat ».

Dans beaucoup de cas, on utilisera un pseudonyme unique (qui peut éventuellement évoluer dans le temps selon les règles des plateformes), permettant de distinguer chaque intervenant. Dans certains cas, les plateformes acceptent les publications « anonymes » (même si subsistent des obligations de conservation de données comme évoqué plus bas), comme le fameux forum 4chan, mais dans les pratiques plus récentes des réseaux sociaux de questions/réponses type Ask.fm ou Curious.cat.

Par extension aux médias sociaux qui ne sont qu’une forme de présentation de ces publications (même si elles sont très interactives et je ne parle pas ici des messages privés), la loi reconnaît donc très clairement un droit à l’anonymat.

Maintenant, quelles sont les données minimales qui doivent être collectées par l’hébergeur (ou le prestataire de la plateforme sociale) ? Elles sont fixées dans un décret en Conseil d’Etat numéro 2011-219 du 25 février 2011. Pour une présentation détaillée, vous pouvez encore une fois consulter l’article que j’y consacrais en 2011.

Parmi ces données, le nom et prénom ou la raison sociale doivent être conservées, uniquement dans la mesure où elles sont habituellement collectées par le prestataire. En revanche, pour chaque contribution à une publication (création, modification ou suppression de contenu), l’hébergeur doit conserver non seulement l’identifiant de l’utilisateur (dans son système d’information, un identifiant unique ou le pseudonyme choisi par exemple) mais aussi l’adresse IP, ainsi que l’horodatage.

Si on interprète strictement la loi LCEN, il subsiste donc un doute:

  • si on assimile un compte de média social à un « service de communication au public en ligne », la fourniture de l’identité au prestataire est obligatoire (article 6, III, 2/ de la LCEN) ;
  • si on estime qu’on est face à un autre objet juridique, alors c’est le principe de la collecte habituelle par le prestataire qui s’applique, et du besoin de le conserver.

Ce point de débat mériterait d’être tranché par un statut juridique spécifique aux plateformes sociales (si certains de mes lecteurs connaissent des jurisprudences sur ce point, n’hésitez pas à les partager). Au passage, la même question se pose très certainement pour les sites médicaux où l’on pose des questions, ou les sites de rencontres.

L’anonymat du point de vue de l’observateur

La question est d’abord peu juridique et plusieurs motivations poussent le lecteur à se poser des questions sur les publications anonymes:

  • la curiosité (pourquoi pas, c’est humain!)
  • le besoin de comprendre le point de vue depuis lequel s’exprime la personne (dans ce cas, ce n’est pas forcément l’identité qui intéresse le lecteur, mais par exemple le métier, le lieu, l’âge, etc.)
  • le souhait d’interagir de façon directe (mais souvent d’autres moyens de communication respectant l’anonymat sont proposés)
  • pouvoir se plaindre de la publication (droit de réponse, demander le retrait du contenu, porter plainte, etc.)

Pour toutes ces raisons, la révélation de l’identité réelle n’est pas absolument indispensable, ni prévue par la loi.

Maintenant cette révélation est-elle souhaitable ? L’argument souvent rapporté est que l’anonymat (et donc souvent, l’utilisation d’un pseudonyme sur les réseaux sociaux), désinhiberait les personnes qui s’expriment (et donc les pousserait à avoir des propos outranciers voire illégaux) et les installerait parfois – ou souvent – dans un sentiment d’impunité.

Intuitivement on peut tous admettre qu’effectivement cette assertion est correcte. L’anonymat – même relatif – enlève ou allège certaines inhibitions. Au passage cela peut aussi être positif et pousser certaines personnes habituellement discrètes à plus s’exprimer et donc à développer le partage, sans compter les nombreuses autres bonnes raisons de rester anonyme (discrétion, etc.). Si on regarde du côté des études scientifiques, je n’en citerais qu’une (Tsikerdekis, 2012) et qui indique que de façon générale, l’utilisation d’un pseudonyme ou la publication anonyme ne rend pas particulièrement plus agressif, mais qu’en revanche sur un sujet qui tient à cœur pour la personne qui s’exprime, l’utilisation d’un pseudonyme peut conduire à une expression plus agressive.

Qu’en conclure ? Avant tout qu’une plateforme qui autorise l’utilisation de pseudonymes doit être attentive aux débats qui s’y produisent, il y a de plus fortes chances qu’ils s’enveniment. Mais même sur les plateformes où l’on utilise normalement son nom véritable (comme les réseaux sociaux professionnels), on rencontre aussi des dérives. Ensuite, qu’il faut certainement apprendre à se servir d’un média social (éviter les conflits, respecter les autres, respecter les limites de la loi, etc.). Enfin, qu’au-delà du rôle des individus et des plateformes il faut que les autorités en charge de l’application de la loi puissent faire leur travail.

Du point de vue de l’enquête judiciaire

Cela nous amène au dernier point, celui des investigations judiciaires (pénales, ou sous l’autorité du juge civil agissant sur requête par exemple). Deux points de vue: est-ce que les médias sociaux et l’utilisation de pseudonymes ont un impact fort voire insurmontable sur leur travail ? est-ce que ces investigations peuvent se dérouler normalement ?

La première question est plus un point de vue sociétal. Mon avis très personnel est le suivant: la loi prévoit explicitement le droit à l’anonymat lorsqu’on publie sur Internet, et c’est une bonne chose. Il faut donc se donner les moyens de détecter et d’enquêter. Je ne détaillerais pas tous les moyens d’action et sites de signalement de contenus illicites (publics tels que PHAROS ou privés tel que Pointdecontact, en France).

Je m’appesantirai en revanche sur la possibilité d’enquêter. J’indiquais tout à l’heure les obligations de conservation de données prévues par la LCEN et son décret d’application. Sans ces données, les investigations ne sont pas possibles. Il existe un débat sur la nécessité de cette conservation et sa proportionnalité (pour toute publication ici, pendant un an), toujours est-il que si ces données ne sont pas accessibles à l’enquête judiciaire, cette enquête n’est pas possible et il est impossible de prédire si une publication nécessitera ou non une enquête judiciaire.

Maintenant, lorsque ces données sont conservées, est-ce que l’enquête judiciaire y a bien accès ? Lorsque tout se déroule en France, aucun problème, sauf défaut de l’hébergeur. En revanche, lorsque cet hébergeur est à l’étranger, il peut y avoir conflit avec la législation de cet autre pays. Toute la question est de savoir si, lorsqu’un service est offert depuis l’étranger sur le territoire national, la législation du pays où se trouve l’utilisateur s’applique, ou bien celle où se trouve la plateforme. S’agissant de la protection des données personnelles, le RGPD évoqué plus haut a tranché, c’est la législation du pays où se trouve la personne qui prime. En matière de publications sur Internet, le débat juridique n’est pas tranché.

En pratique, régulièrement, les plateformes de réseaux sociaux refusent à des enquêteurs et à des magistrats français la possibilité d’accéder à ces données, estimant par exemple que tel message ne relève pas d’une infraction en matière de haine, ou que le service d’enquête n’aurait pas pouvoir juridictionnel parce que le suspect serait dans un pays tiers, etc. C’est une partie du débat des lois en cours de discussion en France (proposition de loi sur la lutte contre la haine sur Internet), déjà votées ailleurs (NetzDG en Allemagne), ou de la proposition de règlement sur l’accès transfrontières à la preuve numérique au niveau européen (e-Evidence).

A suivre donc !

 

21 février 2020 by Cybercriminalité Juridique Prospective 0

FIC 2020 – L’humain au cœur de la cybersécurité

L’édition 2020 du FIC, 12e du nom, était placée cette année sous le signe de l’Humain, ces hommes et ces femmes qui font la cybersécurité.

Quoi de plus vrai ?

Cette année, j’ai eu l’occasion de le vivre en plein, puisqu’en ayant pris la responsabilité de notre nouveau Pôle national de lutte contre les cybermenaces en novembre dernier, je me devais d’être pleinement impliqué dans l’organisation de notre participation au FIC. Et ce fut une fois de plus une formidable expérience humaine, avec évidemment nos spécialistes du C3N ou de l’IRCGN pour expliquer les dernières nouveautés techniques et opérationnelles, mais aussi les enquêteurs des antennes du C3N (les antennes de Lille et Bordeaux étaient représentées) pour témoigner de leur action au quotidien. C’est une vraie fierté que de travailler au contact de ces 5000 femmes et hommes du réseau CyberGEND de la gendarmerie qui œuvrent au quotidien contre la cybercriminalité. Je n’oublie pas nos collègues de la police nationale, de la justice et des autres administrations qui partagent cette lutte.

L’humain au service de la cybersécurité, ce sont aussi tous nos partenaires à l’honneur: cybermalveillance.gouv.fr et E-Enfance étaient à nos côtés cette année. L’association E-Enfance travaille en particulier au développement d’une application ludique de sensibilisation à destination des adolescents avec la Brigade de prévention de la délinquance juvénile de la gendarmerie des Yvelines, le projet PROTECT.

L’humain, ce sont les près de 400 participants de la Conférence sur la réponse aux incidents et l’investigation numérique, CoRI&IN organisée par le CECyF, qui rassemble chaque année spécialistes du privé et du public pour échanger autour des outils et des méthodes de l’enquête numérique et de la réponse à incidents.

Outre le CECyF, de nombreuses autres associations étaient présentes sur le FIC, comme l’ARCSI, l’OSSIR, le CLUSIF, le CESIN ou Signal Spam, qui me sont particulièrement chères, mais aussi d’autres venues présenter leurs projets comme ISSA France, le CEFCYS ou nos amis de MISP. Et beaucoup d’autres. Les liens entre les femmes et les hommes de la cybersécurité, par delà les frontières des entreprises et des administrations, entre les métiers. Bravo à tous ceux qui s’engagent pour faire vivre ces associations !

L’humain ce sont tous ceux qui ont permis au FIC de se réaliser encore cette année, les organisateurs à nos côtés, le comité de programme, les conférenciers et les exposants (450 stands de toute taille cette année !). J’ai eu l’honneur de participer à une table ronde passionnante sur l’accès à la preuve numérique et les discussions en cours sur le CLOUD Act américain et le règlement européen E-evidence.

L’humain c’est aussi les plus de 12.000 participants français et de nombreux autres pays proches et lointains (nous avons notamment reçu des collègues allemands, sénégalais, britanniques, canadiens, malgaches et australiens). Ce sont toutes ces rencontres et ces échanges qui font du FIC un moment exceptionnel. A très bientôt à tous pour de futures collaborations ou simples conversations et vive le FIC 2021.

2 février 2020 by Conférences 0

Botconf 2019 – Merci à tous !

Et voilà, une nouvelle édition de Botconf – la conférence internationale sur la lutte contre les botnets – s’est achevée vendredi à Bordeaux. L’occasion pour moi de faire le bilan de ces 7 éditions passées et d’expliquer pourquoi ce type de conférence est nécessaire.

Ceux qui me lisent ou échangent souvent avec moi savent combien la lutte contre les botnets – et plus largement les logiciels malveillants mais j’y reviendrai – est importante. D’abord parce que c’est la forme de délinquance numérique qui se développe le plus, en témoigne l’explosion des cas d’infection par rançongiciels chiffrants ou cryptlockers au cours de la dernière année.

Observer les botnets, plutôt que les logiciels malveillants simplement, c’est se donner les moyens d’observer un système, une infrastructure. Non seulement une infrastructure de pilotage (les systèmes de commande et de contrôle ou C&C) mais aussi les systèmes de distribution des logiciels malveillants, et les différentes étapes de leur installation. Enfin, on peut aussi s’intéresser aux acteurs (threat actors en anglais) qui contribuent aux différentes étapes de la vie des botnets.

Pour aller plus loin, vous pouvez consulter l’article où je détaillais les travaux conduits dans le cadre d’une thèse entre 2011 et 2015.

Très rapidement d’ailleurs en 2011, il m’était apparu essentiel, en discutant avec la communauté française traitant de cette menace, qu’on puisse avoir une occasion d’échanger de façon ouverte avec les acteurs du monde entier. En effet, à l’époque, il y avait assez peu de conférences traitant des logiciels malveillants, souvent confidentielles, sur invitation, ouvertes à un public donné, associant peu et valorisant peu les acteurs du monde académique. A côté de cela, beaucoup de conférences de sécurité traitent parfois des botnets, mais jamais de façon spécifique. On peut saluer les conférences de Virus Bulletin, beaucoup plus ancienne et volontairement plus tournées vers l’industrie de la sécurité, mais de très bonne qualité.

Avec quelques amis et nouveaux amis, nous nous sommes lancés dans l’aventure et avons organisé la première conférence à Nantes au mois de décembre 2013. Un peu plus de 150 participants dès la première édition et un format qui s’est vite rodé (une session – track – unique où tout le monde participe à l’ensemble des présentations). Depuis nous avons rajouté des ateliers, en fait des formations à l’utilisation d’outils et de méthodes d’analyse de logiciels malveillants, de traces réseaux ou de gestion de l’information sur la menace (threat intelligence).

Le bilan de cette année est exceptionnel: plus de 400 participants de 31 pays, 50 conférenciers pour 29 présentations et 3 ateliers – 1730 minutes d’échanges en 4 jours. Un contenu très dense comme en témoigne le programme.

Chaque année, une tendance se dessine dans les sujets abordés. Cette année fut très variée et on a beaucoup parlé de collecte d’information sur la menace (threat intelligence), de botnets sur mobiles Android, et de sécurité des infrastructures (la sécurité du point de vue des hébergeurs de serveurs Internet).

Cette année enfin, deux participants réguliers de Botconf – la Gendarmerie et un éditeur antivirus Avast – ont témoigné de leur coopération réussie contre le botnet Retadup, qui n’aurait pas été possible ou plus difficilement, si la rencontre ne s’était pas faite les années précédentes pendant cette conférence.

L’année prochaine, l’équipe a choisi de donner à nouveau rendez-vous à Nantes, et donc de toujours bouger en France pour se rapprocher des différents acteurs locaux, avoir le plaisir de faire découvrir notre pays à ces centaines de visiteurs. Au-delà de la richesse des échanges techniques, je retire avant tout une formidable expérience humaine, une communauté avide d’échanges et une équipe d’organisation exceptionnelle dont la motivation et la rigueur me font grandir d’année en année. Merci à tous !

9 décembre 2019 by Non classé 0

Le hameçonnage ciblé (« spear phishing ») à la une d’un rapport d’Europol

Le centre Européen de lutte contre la cybercriminalité d’Europol (EC3) a mis en ligne cette semaine un rapport sur le hameçonnage ciblé (« spear phishing ») qui est issu des travaux de leur Joint advisory group lors de sa réunion du mois de mars dernier. La philosophie de ces travaux est de proposer une vision conjointe de l’industrie et des services d’enquête sur cette menace.

Le hameçonnage est l’utilisation du courrier électronique (ou une autre forme de contact et de messagerie parfois, mais le courrier électronique reste largement majoritaire) pour contacter une victime (ou l’un de ses employés) pour l’un des usages suivants:

  • collecter des identifiants de connexion,
  • obtenir d’autres informations confidentielles (documents financiers, données personnelles),
  • délivrer des logiciels malveillants (rançongiciel, troyen d’accès à distance, enregistreur de frappes au clavier, …),
  • convaincre une victime de réaliser une opération contraire à ses intérêts (comme un virement bancaire).

On dira que le hameçonnage est ciblé s’il est destiné à un public bien déterminé: des destinataires précis au sein d’une même entreprise, des participants à une liste de discussion traitant d’un sujet sensible ou intéressant quant aux objectifs des attaquants (par exemple une liste de discussion par courrier électronique entre spécialistes d’un même domaine industriel). Ce ciblage est évalué par opposition aux campagnes de hameçonnage envoyées vers des destinataires sans relation particulière par exemple dans le contexte de l’envoi de spams.

Un chiffre clé à retenir de ce rapport est que 65% des attaques ciblées constatées en Europe auraient utilisé en 2018 la technique du hameçonnage ciblé.

Le rapport décrit ensuite les techniques employées pour réaliser ce type d’attaques:

  • la reconnaissance, via la collecte d’informations (en sources ouvertes la plupart du temps, notamment par la présence de l’organisation cible et de ses employés sur les réseaux sociaux professionnels)
  • envoi de messages depuis l’extérieur ou l’intérieur (une fois un premier compte compromis), adjonction de pièces jointes piégées, ou de liens vers des pages web piégées (utilisation des logos ou de noms de domaines semblables à ceux de l’entreprise ou d’un partenaire de confiance, téléchargement de fichiers piégés)
  • et par la suite, il pourra s’agir soit d’installer par ce biais des outils malveillants pour parcourir le réseau de l’organisation, copier des données, ou de plus en plus souvent ces derniers mois chiffrer les données de l’entreprise et réclamer une rançon (utilisation de rançongiciels chiffrants ou cryptolockers).

Enfin, le rapport apporte un certain nombre de conseils sur la façon de prévenir et réagir face à de telles attaques, y compris sur la coopération avec les autorités. J’insisterai plus particulièrement sur ce dernier point: si vous êtes victimes d’une telle campagne, signalez-le aux autorités, gendarmerie ou police et s’il s’agit plus spécifiquement d’une extorsion suite à l’installation d’un rançongiciel chiffrant, ne payez pas la rançon ! Si nécessaire, faites-vous accompagner par un prestataire pour la restauration de vos données, et pendant le même temps faites confiance aux autorités d’enquête pour investiguer sur l’origine de la demande de rançon.

Pour compléter les conseils apportés dans ce rapport d’Europol, n’hésitez pas à consulter les didacticiels présentés par nos amis de CYBERMALVEILLANCE.GOUV.FR; en particulier les documents sur le hameçonnage, les fichiers chiffrés avec demande de rançon et la sauvegarde de ses données.

9 novembre 2019 by Cybercriminalité 0

Essai transformé !

Transformation gendarmerie

Le 1er mai 2017, je prenais les rênes de la toute nouvelle Mission numérique de la gendarmerie (MNGN). Deux ans et demi plus tard, c’est l’occasion pour moi de faire le bilan et de passer très bientôt à de nouvelles aventures, tout en ayant le sentiment que nous avons pu réaliser de très belles choses avec cette équipe et nos partenaires.

L’ambition était forte pour la gendarmerie: prendre résolument le virage de la transformation numérique et passer le cap de 2020 avec une dynamique renouvelée. Nous avons la chance d’être dans une maison toujours tournée vers l’innovation, et ce depuis de nombreuses années (en témoignent notamment les Ateliers de la performance qui valorisent l’innovation participative en gendarmerie depuis 2006), le réseau CyberGend en matière de lutte contre la cybercriminalité ou les infrastructures de communication toujours renouvelées développées par le STSI², mais le défi pour nous était de changer de braquet, montrer qu’on pouvait faire encore mieux.

Les réalisations ont été nombreuses. Ainsi, nous avons pu mettre en place en six mois, dès le début de l’année 2018, la Brigade numérique de la gendarmerie qui répond aux sollicitations toujours plus nombreuses des internautes sur les questions de sécurité du quotidien, 24 heures sur 24. Parmi les facteurs de succès de ce projet, je tiens à citer évidemment l’implication des personnels de cette unité qui ont créé une mission totalement nouvelle en gendarmerie, mais aussi la capacité d’une région de gendarmerie (ici la Bretagne) et tous les acteurs intermédiaires (les services logistiques ou de doctrine en sécurité publique et police judiciaire au sein de la direction générale de la gendarmerie nationale) de se mobiliser, d’être particulièrement inventifs et réactifs.

Et là où les réalisations accompagnées par la MNGN ont été nombreuses c’est quand elles ont pu être portées directement par les services, et des expérimentations réalisées dans les régions. Par exemple, notre direction en charge des ressources humaines a su développer en quelques mois un chatbot pour accompagner les officiers de gendarmerie dans leurs carrière, première brique d’une modernisation profonde de la gestion de nos personnels, leur offrant notamment plus de transparence dans leurs parcours professionnels. Au passage, ces projets ne sont souvent possibles que parce que nous avons pu travailler avec des startups, des acteurs de proximité en France qui ont développé avec nous les solutions innovantes nécessaires.

Notre action s’est traduite par l’affinage d’une véritable stratégie de transformation numérique de la gendarmerie, qu’une partie de l’équipe présentait au mois de janvier dernier lors du FIC 2019 sur le plateau d’Acteurs publics TV.

La dernière clé du succès pour moi est évidemment dans l’humain, au travers des rencontres et du travail commun avec tous nos partenaires internes et externes (on peut citer l’équipe service-public.fr de la DILA qui nous accompagne dans plusieurs projets dont la prise de rendez-vous en ligne en cours d’expérimentation et le programme des entrepreneurs d’intérêt général – EIG) et surtout grâce à une équipe formidable qui m’a entouré au cours de ces deux ans et demi (merci à vous tous Michaël, Florence, Rémy, Marielle et à Dora et Jean-Baptiste nos EIG). La transformation numérique n’est possible que grâce à cette richesse du travail collectif.

L’humain (au service de la cybersécurité) est justement le thème du Forum international de la cybersécurité 2020, du 28 au 30 janvier prochain, rendez-vous à Lille !

 

30 octobre 2019 by Transformation numérique 2

Ne tombez pas dans le panneau!

Le message est simple aujourd’hui:

Ne tombez pas dans le panneau!

Cette semaine, j’ai reçu un appel au bureau d’une personne qui pensait m’avoir déjà eu en ligne. Malheureusement pour lui, ce n’était pas la même personne, il venait de se faire escroquer par un usurpateur.

Les scénarios de ces escroqueries sont multiples, ils ont souvent plusieurs étapes et plusieurs intervenants. Les plus courants commencent de deux façons:

  • Un dialogue sur un site de rencontres
  • Un échange suite à une petite annonce

Sur les sites de rencontre, la conversation s’engage et la victime commence à faire confiance. Dans certains cas, une relation se noue et l’escroc (ou les escrocs, car il est possible qu’ils se relaient derrière le même pseudonyme) demande de l’argent pour payer des frais médicaux ou même le voyage ou les frais de visa pour rencontrer son nouvel amour.

Evidemment, le paiement est toujours par des moyens inhabituels pour beaucoup d’entre nous: cartes bancaires prépayées ou coupons de recharges pour ces cartes, virements Western Union. D’ailleurs, très souvent (et c’est une bonne chose!) les buralistes posent des questions aux personnes qui se présentent pour acheter les coupons de recharge, et lorsqu’ils ont un doute ils sensibilisent les clients sur les risques d’escroquerie.

Parfois, l’escroquerie est plus agressive et la victime se voit menacée de révéler ses échanges, accusée de pédophilie (la personne avec qui elle discutait disant être mineure), et dans certains cas des vidéos ont été enregistrées à son insu suite à des discussions qu’elle croyait intimes et l’escroc menace de révéler ces vidéos à tous ses amis et contacts professionnels (chantage dit à la webcam).

Souvent encore, il y a une dernière étape avec l’intervention d’un soi disant service de police spécialisé qui contacte la victime par courrier électronique pour lui réclamer le paiement d’une amende ou alors de risquer des poursuites. C’est là que mon nom se retrouve souvent utilisé, un soi disant « Commissaire Général Eric Freyssinet » d’un service spécialisé en cybercriminalité fantaisiste, et le courriel est envoyé depuis une adresse gratuite (gmail, yahoo, hotmail, etc.).

Au passage:

Police et gendarmerie utilisent des adresses de courrier électronique officielles en gendarmerie.interieur.gouv.fr ou interieur.gouv.fr.

Jamais un policier ou un gendarme ne vous demandera de payer une amende directement dans un courrier électronique.

C’est intéressant d’utiliser le nom d’un policier ou d’un gendarme connu, parce qu’on trouve des traces de celui-ci sur Internet et la victime peut tomber dans le panneau (malheureusement !).

Dernier conseil: quand vous avez un doute suite à une discussion ou une transaction sur Internet, n’hésitez pas à en parler à un ami ou un membre de votre famille ou appelez le numéro Info Escroqueries 0 805 805 817 (lundi-vendredi 9h-18h30, numéro vert). Je compte sur mes lecteurs pour faire passer le message !

13 octobre 2018 by Cybercriminalité Prévention 1

Vague d’extorsions par courriels avec un de vos mots de passe!

Depuis quelques jours, j’ai reçu plusieurs signalements de personnes qui étaient victimes d’une tentative d’extorsion par courrier électronique. Le même sujet a été décrit voilà quelques jours par Brian Krebs sur son blog.

Le schéma est le suivant:

  • Expéditeur = adresse bizarre en outlook.com ou autre service gratuit
    • Objet du message = « Re: prenom.nom – motdepasse »
  • Texte = un message en anglais rappelant le mot de passe, et indiquant que grâce à un virus implanté sur votre ordinateur l’escroc a pu vous observer visiter un site web pornographique et vous enregistrer à cette occasion grâce à votre webcam, menaçant ensuite de diffuser la vidéo à vos contacts. Le message réclame ensuite une rançon en bitcoins de $1900
  • Adresse Bitcoin = différente dans tous les exemples que j’ai pu voir

Le texte du message ressemble à celui-ci :

Let’s get straight to the point. I am aware [mot de passe] is your pass word. Moreover, I know about your secret and I’ve proof of it. You don’t know me and no one hired me to examine you.

It is just your misfortune that I discovered your bad deeds. Well, I installed a malware on the adult videos (adult porn) and you visited this website to have fun (you know what I mean). While you were watching video clips, your web browser started out working as a Rdp (Remote desktop) that has a keylogger which provided me accessibility to your display and also webcam. Right after that, my software program collected your complete contacts from facebook, as well as e-mail.

I then put in much more time than I probably should have into your life and made a two screen video. First part displays the recording you had been viewing and second part shows the video from your web cam (its you doing dirty things).

Honestly, I want to forget about you and let you get on with your life. And I am about to give you 2 options that will achieve that. The above choices to either ignore this letter, or perhaps pay me $1900. Let us examine those two options in more detail.

First Option is to ignore this e-mail. Let’s see what is going to happen if you pick this path. I will send out your video to your contacts including relatives, co-workers, and many others. It does not help you avoid the humiliation your family will face when friends discover your sordid videos from me.

Other Option is to make the payment of $1900. We’ll call it my “confidentiality charges”. Let me tell you what happens if you pick this option. Your secret remains your secret. I’ll destroy the recording immediately. You keep your lifetime as though nothing like this ever occurred.

At this point you may be thinking, “I should call the cops”. Let me tell you, I have covered my steps in order that this message can’t be tracked to me plus it will not stop the evidence from destroying your health. I am not planning to dig a hole in your pocket. I am just looking to get compensated for efforts and time I place into investigating you. Let’s assume you decide to generate pretty much everything disappear and pay me the confidentiality fee. You will make the payment via Bitcoins (if you don’t know how, type « how to buy bitcoins » in search engine)

Amount to be sent: $1900
Receiving Bitcoin Address: [adresse différente pour chaque escroquerie]
(It’s case sensitive, so you should copy and paste it carefully)

Tell nobody what you would use the bitcoin for or they might not offer it to you. The method to obtain bitcoins usually takes a few days so do not wait.
I have a specific pixel within this email message, and now I know that you have read through this e mail. You now have two days in order to make the payment. If I do not receive the BitCoins, I will certainly send out your video recording to all your contacts including members of your family, colleagues, and so on. You better come up with an excuse for friends and family before they find out. Nonetheless, if I receive the payment, I will erase the proof and all other proofs immediately. It is a non-negotiable one time offer, so don’t ruin my personal time & yours. Your time is running out.

Hypothèses

Les hypothèses évoquées par Brian Krebs sont qu’il s’agit vraisemblablement de messages envoyés au hasard à une liste de personnes sur la base d’une fuite de données massive telle qu’on a malheureusement pu en avoir beaucoup au cours des dernières années. Cela converge avec les témoignages que j’ai pu recevoir.

Recommandations

Les recommandations que je pourrais faire aux victimes de cette tentative d’extorsion sont simples:

  • Ne pas payer la rançon, ne pas contacter l’escroc, ne pas répondre
  • Comme il s’agit ici d’une tentative reposant sur une vraie base de données volée, il est probable que vous reconnaissiez le mot de passe. Si vous l’utilisez encore sur un de vos comptes (courrier électronique, réseau social, etc.), changez-le très rapidement. La CNIL propose de très bons conseils sur les mots de passe, notamment en vous incitant à utiliser un logiciel de gestion des mots de passe.
  • Vous pouvez vérifier si votre adresse ou vos pseudonymes sont présents dans des détournements connus en les vérifiant sur haveibeenpwned. Dans ce cas modifiez aussi vos mots de passe pour ces comptes.
21 juillet 2018 by Cybercriminalité Prévention Sécurité 1

Percev@l – plateforme de signalement des fraudes aux cartes de paiement – est ouverte!

Depuis quelques jours, un nouveau téléservice est disponible sur service-public.fr. Il permet aux victimes de fraude à leur carte de paiement de se signaler auprès des autorités.

Un tel service était nécessaire et attendu depuis longtemps. En effet, la fraude aux cartes de paiement a lieu essentiellement sur Internet aujourd’hui (à plus de 70% selon les statistiques publiées par l’Observatoire de la sécurité des moyens de paiement). Cela veut dire que le lieu où se commet réellement l’infraction n’a en général aucun rapport avec l’endroit où se trouve la victime. De surcroît, c’est le cumul des informations provenant des nombreuses victimes qui permettra d’identifier les fraudeurs et leur mode opératoire et facilitera la coopération internationale (plus facile si on peut identifier un préjudice conséquent lié aux mêmes auteurs).

Lorsqu’on constate un paiement frauduleux avec son numéro de carte bancaire (en consultant son relevé de compte en ligne, ou encore en étant prévenu par sa banque ou son prestataire de paiement), les opérations suivantes peuvent maintenant être réalisées par les victimes:

  • Mettre sa carte en opposition en contact son organisme de paiement (en général par un simple appel téléphonique)
  • Réaliser son signalement sur le téléservice Percev@l (on le retrouve simplement sur le site service-public.fr en cherchant Percev@l ou « fraude carte bancaire »)
  • Transmettre le récépissé fourni par Percev@l à sa banque pour faciliter les opérations de remboursement (le récépissé est mis à disposition automatiquement dans votre porte-documents sur le site service-public.fr)

Pour se connecter à Percev@l, l’usager doit utiliser un identifiant FranceConnect. Celui-ci est accessible à tous les résidents français grâce à leurs comptes Ameli, des Impôts ou encore Laposte ou Mobileconnectetmoi. Très rapidement, la plateforme FranceConnect sera interopérable avec d’autres agrégateurs d’identité à travers l’ensemble de l’Union européenne dans le cadre du règlement européen eIDAS.

Ensuite, les informations fournies sont directement traitées par des analystes et des enquêteurs du Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie et les rapprochements ainsi réalisés contribuent à l’ouverture d’enquêtes judiciaires qui peuvent être traités par des services spécialisés de gendarmerie ou de police partout en France.

Ce téléservice était attendu – j’en parlais dans mon livre La cybercriminalité en mouvement en 2012: il fait l’objet en particulier d’une recommandation dans le rapport de 2014 sur la lutte contre la cybercriminalité. Les banques et les commerçants en ligne sont aussi particulièrement mobilisés et ils ont été associés à la construction de ce projet; ils coopéreront évidemment aux enquêtes judiciaires.

Souhaitons que Percev@l soit utilisé par une partie importante des victimes de fraude à leur carte de paiement. Ils contribueront ainsi à la lutte contre cette forme malheureusement trop répandue de cybermenace. Percev@l contribue pleinement au volet numérique de la Police de sécurité du quotidien et s’intègre au programme Ma gendarmerie en ligne! de la gendarmerie nationale.

9 juin 2018 by Cybercriminalité Transformation numérique 15

Campagne de hameçonnage ciblant les clients d’OVH

Depuis quelques jours une campagne de hameçonnage cible plus particulièrement les clients d’OVH, la gendarmerie du Doubs et du territoire de Belfort sur sa page Facebook.

En effet, j’ai moi-même reçu trois messages de hameçonnage successifs ciblant le même nom de domaine dont je suis le gestionnaire chez OVH (envoyés à l’adresse de contact du nom de domaine):

  • 7 mars 2018 15:27, objet: « Fermeture du XXX » XXX étant le nom de domaine, provenant apparemment de « <support@ovh.com> »
  • 8 mars 2018 05:24, objet: « [ֹOVֹH] : erreur ! », provenant apparemment de « [ֹOVֹH] » <support@ovh.net>
  • et de façon identique le 10 mars 2018 17:20

Jetons un œil à l’aspect du dernier message:

 

Si l’on passe la souris au dessus de l’URL qui devrait être celle du site d’OVH on obtient en réalité:

(la zone floutée correspond à l’adresse de contact du nom de domaine ciblé). Si l’on suit cette adresse, après deux redirections on se retrouve sur l’adresse (ATTENTION ne pas vous rendre sur cette adresse sans précautions !):

Le site Web est celui d’une société d’informatique allemande dont le site Web a été modifié pour afficher une page ressemblant à celle d’OVH:

Comment se protéger ?

Suivant les solutions de sécurité dont vous disposez sur votre ordinateur, vous serez éventuellement averti qu’il s’agit en réalité d’une page de hameçonnage connue. Ainsi, à l’heure où j’écris ces lignes, Windows Defender de Microsoft le signale correctement lorsqu’on visite cette page.

Si vous voulez participer à signaler ce type de messages et de pages de phishing c’est assez simple. L’association Signal Spam – dont j’ai parlé plusieurs fois ici – fournit un plugin pour votre navigateur Web qui permet de signaler les messages non sollicités et les pages Web de hameçonnage.

Les signalements sont non seulement traités par Signal Spam, mais font l’objet d’une transmission vers les éditeurs des différents navigateurs.

Une mise à jour récente des modules de signalement de Signal Spam autorise désormais le signalement des URL (adresses internet) de phishing. Concrètement, cela signifie qui si au cours de votre navigation sur internet vous tombez sur un site de phishing, il vous est possible d’utiliser le même bouton Signal Spam installé dans votre navigateur (chrome, safari, ou firefox) qui sert traditionnellement au signalement d’un courriel indésirable pour signaler le site de phishing. Le module Signal Spam reconnaîtra que vous naviguez sur une page de phishing, et signalera l’URL.

L’URL ainsi signalée sera placée dans une liste noire qui préviendra la navigation sur ce site par d’autres utilisateurs de Signal Spam. Il est bien sûr possible de signaler un « faux-positifs », c’est à dire un signalement que vous estimez erroné, ou de poursuivre malgré tout votre navigation sur le site de phishing en pleine connaissance de cause.

En outre, la mise à jour des modules intègre également une protection de votre messagerie contre les messages de phishing : une alerte s’affichera lorsque vous vous apprêtez à ouvrir un message contenant des liens identifiés comme dangereux.

Le fonctionnement de cette fonctionnalité STOP PHISHING – développée par Signal Spam en partenariat avec la société Verifrom vous est expliqué dans la vidéo ci-dessous:

Une vidéo proposée par la CNIL vous informe très précisément sur la façon d’installer le plugin dans votre navigateur:

Enfin, le service cybermalveillance.gouv.fr vous propose une fiche de prévention sur le sujet du hameçonnage:

11 mars 2018 by Cybercriminalité Prévention Sécurité 0

Ouverture de la Brigade numérique

Le 27 février 2018 à 14h30, le ministre de l’Intérieur Gérard Collomb a ouvert officiellement la Brigade numérique. Il s’agit du premier gros projet intégralement piloté par la mission numérique mise en place le 1e mai 2017 pour piloter la stratégie numérique de la gendarmerie.

Un message important d’abord: en situation d’urgence, le bon réflexe reste toujours de contacter le 17 ou le 112 (ou encore le 114 par fax ou SMS pour les personnes avec des difficultés à entendre ou à parler).

Rénover et renforcer le contact

Ce projet s’inscrit pleinement dans la Police de sécurité du quotidien souhaitée par le gouvernement. La mission fixée aux vingt gendarmes de la Brigade numérique installée à Rennes est d’assurer en ligne l’ensemble des fonctions d’accueil des brigades de gendarmerie, 24 heures sur 24 et ce où que se trouvent les usagers. Il s’agit donc de compléter l’offre de contact des brigades de gendarmerie par un service accessible en fonction des contraintes des usagers qui n’ont pas toujours le temps ou la possibilité de se déplacer.

Toutes les questions traitées dans les brigades de gendarmerie pourront ainsi recevoir une réponse rapide: une base de connaissance de plus de 800 questions et réponses a été constituée grâce à l’expérience des gendarmes de terrain. Elle sera enrichie des questions posées aux gendarmes de la Brigade numérique et mise à disposition de l’ensemble des personnels de terrain pour permettre un accueil de qualité sur l’ensemble du territoire, par les canaux numériques ou directement au contact des gendarmes.

Les gendarmes de la Brigade numérique parlent plusieurs langues et pourront être renforcés par des réservistes de la gendarmerie afin de gérer les pics d’affluence qui seront certainement rencontrés au moment des grands événements ou des périodes touristiques.

Enfin, suivant les situations, un message sera transmis à la brigade de gendarmerie dont dépend l’usager pour assurer un suivi personnalisé. La Brigade numérique c’est donc Ma gendarmerie en ligne!

Contacter la Brigade numérique

Dans un premier temps, la Brigade numérique sera joignable sur le site Web de la gendarmerie grâce à une fenêtre de chat, sur les comptes twitter et Facebook de la gendarmerie.

Une foire aux questions est aussi accessible en libre-service pour répondre aux problèmes les plus courants que peuvent se poser les usagers.

Et demain?

Plusieurs évolutions des services offerts par la gendarmerie en ligne sont programmés. En particulier, la possibilité d’organiser des rendez-vous sur le terrain ou en brigade de gendarmerie. Pour faciliter ces développements, nous avons recherché le soutien du disposition des Entrepreneurs d’intérêt général (EIG) porté par Etalab. Le projet de la Brigade numérique a été retenu et deux EIG sont intégrés à la Mission numérique entre janvier et novembre 2018.

Bien entendu nous serons à l’écoute des attentes des usagers pour faire évoluer rapidement les services numérique offerts par la gendarmerie et améliorer le contact et la proximité avec nos usagers. N’hésitez pas à contacter la Brigade numérique, ils sont à votre service !

Revue de presse

27 février 2018 by Transformation numérique 1