du 19 avril 2018
Date

Choisir une autre édition

Les données de milliers de comptes Facebook aspirées

La société de sécurité Radware alerte sur l'infection de plus de 40 000 internautes via Relieve Stress Paint, un logiciel de dessin promettant la relaxation des utilisateurs. Cela en quelques jours.

Poussé vers les internautes via du spam par e-mail ou sur Facebook, il collecte des identifiants et cookies de comptes dans Google Chrome, en particulier de ceux gérant des Pages ou ayant enregistré un moyen de paiement. La société a eu accès au panneau d'administration de la campagne, et suspecte une extension à venir aux comptes Amazon.

En parallèle, TechCrunch rapporte que des trackers javascript aspirent les identifiants Facebook via Facebook Login sur des sites tiers. Les scripts auraient été trouvés sur 434 sites parmi le million les plus visités, dont ceux de Bandsintown, Fivver et MongoDB.

Selon ce que l'internaute fournit aux sites concernés, le nom, l'adresse e-mail, la classe d'âge, le genre, la langue et la photo de profil peuvent être récupérés. Les sociétés exploitant ces scripts, dont AudienceStream, Lytics, ProPS commercialiseraient des services à partir de ces données, même si l'ampleur du phénomène n'est pas connue.

À nos confrères, Facebook déclare enquêter sur l'affaire.

Citée, Tealium nous a contacté pour nous indiquer « ne pas utiliser les données Facebook de la manière décrite par les chercheurs. Les logiciels de Tealium sont utilisés par des sociétés pour gérer leurs propres données. Tealium n'utilise pas ces données dans quelque but que ce soit, pas plus qu'il ne les achète, partage ou revend. Tealium défend la confidentialité des données des utilisateurs, leur gouvernance et transparence ».

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

La découverte a été faite par l'équipe de sécurité de Check Point Research, qui a publié un (très) long billet de blog détaillant son fonctionnement.

Selon les chercheurs, elle permet de « prendre le contrôle total de l'ordinateur de la victime ». À cause d'une vulnérabilité dans la bibliothèque UNACEV2.DLL, il est possible de « créer des fichiers dans des dossiers arbitraires, à l'intérieur ou non du dossier de destination, lors de la décompression des archives ACE », explique WinRAR.

Problème, UNACEV2.DLL n'est plus mis à jour depuis 2005 et la société n'a pas accès au code source. « Nous avons donc décidé de supprimer la prise en charge du format ACE pour protéger la sécurité des utilisateurs de WinRAR », indiquent les notes de version de la 5.70 bêta.

Copié dans le presse-papier !

La Commission d’accès aux documents administratifs (CADA) et la Commission nationale de l’informatique et des libertés (CNIL) ont lancé hier une consultation portant sur un projet de « guide pratique de la publication en ligne et de la réutilisation des données publiques », qu’elles ont élaboré conjointement, en lien avec la mission Etalab.

Ce document, à destination des administrations comme des citoyens, fait un point sur les réformes impulsées notamment par la loi pour une République numérique de 2016 et le RGPD : obligations de mise en ligne, formats de données, anonymisation, etc.

Initialement, la CNIL espérait que ce guide puisse être publié dès la fin 2016 (voir notre article).

Copié dans le presse-papier !

La majorité vient de déposer à l’Assemblée nationale une proposition de loi destinée à « préserver les intérêts de la défense et de la sécurité nationale de la France dans le cadre de l’exploitation des réseaux radioélectriques mobiles ». Un air de déjà-vu. Et pour cause, la « PPL » reprend docilement un amendement gouvernemental au projet de loi PACTE, qui fut cependant rejeté au Sénat.

Le régime est identique : une autorisation préalable imposée dans le déploiement des équipements 5G. Ce texte dit « anti-Huawei » veut tenir compte des risques pesant sur ces futurs réseaux, s’agissant en particulier des obligations légales « qui pourraient contraindre leurs fournisseurs à coopérer avec des autorités étrangères dans la collecte de renseignement ».

Comme dans l’amendement, la proposition exigera le feu vert du Premier ministre – et derrière lui l’ANSSI – dès lors qu’existe « un risque pour l’intégrité, la sécurité et la continuité de l’exploitation ».

Le texte autorisera notamment Matignon à imposer ce véto si l’équipement ne garantit pas la possibilité de réaliser des interceptions de sécurité aux fins de défense nationale ou de sécurité publique. En somme, en s’attaquant d’une main aux portes dérobées chinoises, les députés LREM, comme l’exécutif, profitent de l’autre pour offrir au renseignement français un œilleton sur les flux.

Le véhicule choisi étant une proposition, non un projet de loi, il est démuni d’étude d’impact et d’avis du Conseil d’État.

Copié dans le presse-papier !

Le groupe vient de dévoiler ses résultats pour l'année 2018. Avant d'y revenir en détail, commençons par un point sur Orange Bank.

La banque en ligne de l'opérateur a été lancée début novembre 2017 et avait plutôt bien débuté avec 30 000 clients en deux semaines. Il faudra ensuite attendre février 2018 pour arriver à 100 000, puis un an d'existence pour doubler la mise (200 000 en novembre 2018).

Orange Bank semble donc avoir accéléré sur fin 2018 puisqu'il revendique 248 000 clients au 31 décembre, soit 48 000 clients supplémentaires en deux mois. Comme toujours, aucune précision n'est donnée, notamment sur le nombre d'utilisateurs actifs.

Le produit net bancaire est de 43 millions d'euros en 2018, contre 73 millions d'euros en 2017. Une baisse de 41,1 % « notamment liée aux coûts d’acquisition des clients ». C'était déjà la même rengaine l'année dernière, après une baisse de 12 millions d'euros.

Les pertes sur l'année passée sont de 169 millions (68 millions sur le premier semestre 2018), contre 93 millions en 2017. « Cette évolution reflète la diminution du produit net bancaire et l’augmentation des charges d’exploitation liées au développement de l'activité ».

En janvier, Orange Bank a dévoilé des changements pour tenter d'inverser la tendance tout en augmentant les recrutements : une augmentation de certains frais et une carte VISA Premium facturée 7,99 euros par mois, actuellement en test auprès de certains clients.

Copié dans le presse-papier !

En trois jours, un vent de panique a soufflé sur YouTube. La vidéo de Matt Wattson sur la facilité à trouver des vidéos à tendance pédopornographique (sans l’être explicitement) et commentaires particulièrement flagrants a provoqué une détonation.

Les sanctions ne se sont pas faites attendre. De grosses entreprises comme Epic, Disney et Nestlé ont retiré leurs publicités de YouTube, le temps que le ménage soit fait et qu’une enquête soit prestement diligentée.

Dans la soirée du 20 février, une autre vidéo a intensifié la polémique. Publiée par le youtubeur Philip DeFranco, elle remet une couche sur un vrai problème au sein de la plateforme, déjà pointé par Wattson : comment, par les algorithmes de recommandations et avec les bons mots clés, on peut tomber sur des contenus et commentaires choquants.

En conséquence, YouTube a tiré dans toutes les directions. Dans un message à DeFranco, l’équipe lui annonce avoir supprimé plus de 400 chaînes et désactivé les commentaires sur « plusieurs dizaines de millions de vidéos ». Les commentaires illégaux ont été signalés aux autorités.

L’éditeur semble avoir eu besoin d’un électrochoc pour réagir, mais s’il s’agit pour l’instant d’un tapis de bombes. On ne sait pas par exemple si le blocage des commentaires s’est fait après constat d’un problème ou à titre préventif.

Le problème n’est en effet pas neuf, comme le rappelait la journaliste Chloé Woitier hier soir. La chaine YouTube Le roi des Rats pointait ainsi déjà en juin 2018 la naissance d’un « réseau malsain » d’échange de vidéos de petites filles faisant de la gymnastique.

La lutte contre la pédopornographie est pourtant loin d’être nouvelle sur YouTube. Dans sa vidéo, DeFranco évoque ainsi un « combat constant » et des révisions régulières des recommandations à la communauté lors de la publication de vidéos avec des enfants.

Il est probable que YouTube aiguise en permanences ses armes pour détecter ce type de contenu mais que des personnes se soient montrées plus malignes. Il est tout aussi probable que le service va serrer la vis et prendre de nouvelles mesures. L’entreprise vit de la publicité, et perdre des clients comme Disney et Nestlé, même temporairement, peut avoir de lourdes conséquences.