X

News Partenaire

Active Backup for Office 365

Avec sa nouvelle solution Active Backup for Office 365, Synology met à disposition de toutes les sociétés, et tout particulièrement les petites et moyennes entreprises, une solution de sauvegarde et de restauration complète particulièrement facile à utiliser, notamment grâce à une console unique d’administration. Office 365 est aujourd’hui en train de devenir la suite de logiciels de bureautique la plus utilisée dans le monde et disposer d’une solution de sauvegarde performante, économique et simple d’utilisation est largement demandée.

Piratage UMP : une opération salutaire ?

Les auteurs du piratage des données de parlementaires UMP se sont exprimés dans un communiqué. Les faits qu’ils exposent et les questions qu’ils posent sont très dérangeants au point qu’on se demande si ce hack n’est finalement pas une excellente chose.

Le piratage de données appartenant à des parlementaires UMP et leurs collaborateurs n’a pas fini de faire parler ni couler de l’encre, numérique pour l’essentiel. En effet, les hackers viennent de publier un communiqué fort détaillé sur les opérations qu’ils ont menées et leur texte amène plusieurs réactions.

La première est que « l’on tombe de sa chaise » devant l’amateurisme des sociétés chargées de la sécurité des données dont ils ont la charge. A cet égard, ceci ne fait que confirmer les propos du Directeur de L’agence Nationale de La Sécurité des Systèmes d’Information (ANSSI) devant un parterre de professionnels à Monaco le 7 octobre dernier. S’il était tentant pour certains de qualifier de « branquignols » les hackers de DoxUMP, comment qualifier alors ceux qui ont été leurs victimes ? "Branquignols de compétition" est encore trop faible.

Comme vous pourrez le découvrir à la lecture du communiqué que nous publions en intégralité ci-dessous, les techniques utilisées par les hackers sont du niveau « maternelle » en matière de sécurité. Les auteurs précisent en effet qu’ils n’ont attaqué ni visé aucun site institutionnel et qu’ils se sont contentés d’utiliser un Google Dork autour de failles SQL. La conclusion s’imposera évidemment à certains « phares » de la pensée Internet contemporaine: il n’y a qu’à interdire Google et tous ces sites totalement irresponsables.

Plus sérieusement, les hackers indiquent que trente sites « personnels » de personnalités UMP étaient concernés par ces failles. Ces sites étaient pourtant gérés par un « professionnel ». Certes des données qualifiées par les hackers de « légèrement privées » ont été publiées par DoxUMP mais ils précisent qu’ils en avaient beaucoup plus sous la semelle. Rien de moins que –excusez du peu– les identifiants et mots de passe permettant de se connecter aux Intranet de l’Assemblée Nationale.

Leur conclusion est limpide. « Nous AURIONS PU, en voyant tout ceci : écrire des mails en utilisant les adresses officiels de certains députés. tenter de pirater le site de l'assemblée-nationale "de l'intérieur". publier TOUTES les données aperçues sur ce serveur, contenu des mails identifiants & mot de passe compris. les vendre à des pays étranger. Nous avons choisi de ne publier qu'une partie des données, expurgée de ce qu'il y avait de plus sensible ».

Qui est vraiment irresponsable ?

Le groupe DoxUMP pose ensuite la question de l’irresponsabilité qui serait la leur en ayant dévoilé certaines de ces informations. Notre rôle n’est pas de prendre parti pour l’un ou l’autre camp mais les questions que posent les hackers sont pertinentes et –espèrent-ils– devraient susciter une prise de conscience beaucoup plus aigüe qu’aujourd’hui en matière de gestion des fichiers. Ils rappellent également ne pas avoir publié l’exploit ni les informations permettant d’accéder aux sites institutionnels alors qu’elles y figuraient, affirment-ils. La question posée est selon leurs termes : « Qui est "irresponsable" ? Qu'est ce qui est "grave" ? Ce webmaster qui laisse quasi-ouvert son serveur MySql, qui utilise le même mot de passe PARTOUT, et qui semble très peu regardant quand à la sécurité des données qu'il héberge ?  Certains députés, qui confient à ce webmaster privé leurs identifiants officiels de député ? » Vu sous cet angle l’irresponsabilité n’est peut-être pas là où on le croit.

S’en suivent des considérations politiques où les auteurs expliquent qu’une loi autorisant le fichage de 45 millions de français aurait été votée par 11 députés sur les 577 que sont la représentation nationale. "Plus de fichiers, plus de fuites", déclarent-ils en conclusion. Nous ne serons pas aussi radicaux mais nous partageons totalement leur point de vue, même si nous ne sommes pas forcément d’accord avec leurs méthodes, sur le fait que la Sécurité des systèmes d’information n’est absolument pas comprise par la majorité de ceux qui font la loi et qui donc participent à la création de ces fichiers.

Si cette opération de hacking permet une prise de conscience générale des enjeux existants autour des informations, alors il s’agit d’un hacking salutaire et non pas d’un acte totalement irresponsable comme d’aucuns voudraient le qualifier.

Le communiqué de presse publié par DoxUMP



Nous sommes les auteurs de la publication des données "légérement" privées des députés UMP, le désormais fameux "DoX-UMP" :

Nous avons fait un communiqué complet plus tôt aujourd'hui, transmis à un journaliste qui nous a invité à discuter, mais en attendant publication de ce communiqué, si publication il y a, dans le doute nous tenons à signaler (répeter) quelques points importants : 

Aucun site "institutionnel" n'a été attaqué, ni même visé.

- Les données sont issues d'une société d'hébergement & création de sites internet privée. (mes-conseils.fr)

- La faille a été découverte par un "google dork", il s'agit d'une faille SQL flagrante. - L'exploitation de ce genre de faille s'apprend en quelques minutes avec google/youtube. - Ces failles SQL étaient présentent sur ~30 sites personnels de personalités de l'UMP. - L'exploitation de cette faille nous a mené à plus de 160 bases de données, dont la plupart étaient directement liées avec l'UMP. - Dans ces bases de données, il y avait :  des centaines (milliers?) de mails, les identifiants confidentiels de ces députés pour se connecter à des extra/intranets, certains identifiants confidentiels permettant de se connecter au portail privé de l'assemblée-nationale.

Nous AURIONS PU, en voyant tout ceci :

- écrire des mails en utilisant les adresses officiels de certains députés.

- tenter de pirater le site de l'assemblée-nationale "de l'intérieur".

- publier TOUTES les données aperçues sur ce serveur, contenu des mails identifiants & mot de passe compris.

- les vendres à des pays étranger ?

Nous avons choisi de ne publier qu'une partie des données, expurgée de ce qu'il y avait de plus sensible.

Nous souhaitions être entendu, chaque jour des centaines de personnes se font pirater leurs données privées transmises à des société privées. données, qui sont ensuite partagées sur le net, dans l'indifférence totale de ces sociétés privées piratées, et des responsables politiques.

Mais ces citoyens ont rarement la chance de tomber sur des pirates qui ne dévoillent pas les mots de passes, ou le contenu de mails.

A ceux qui nous qualifient d' "irresponsables", et que ce piratage est "grave" nous tenons à demander :

Qui est "irresponsable" ? Qu'est ce qui est "grave" ?

- Ce webmaster qui laisse quasi-ouvert son serveur MySql, qui utilise le même mot de passe PARTOUT, et qui semble très peu regardant quand à la sécurité des données qu'il hébèrge ?

- Certains députés, qui confient à ce webmaster privé leurs identifiants officiels de député ?

A ceux qui nous qualifient de "cyber-idéalistes attaquant la nation", nous tenons à dire que :

- Nous n'avons publié aucun mot de passe permettant d'accéder aux sites institutionnels, malgré leur présence dans la base de données.

- Nous sommes tombés par hasard (-google dork-) sur cette faille, nous avons regardé où elle menait par curiosité avant tout.

- Nous n'avons pas publié la faille en question, ce qui aurait permis à n'importe qui de s'emparer de toutes ces données.

- Nous n'avons ni attaqué ni visé aucun site institutionnel.

- Cyber-Idéalistes tout-court, pourquoi pas !

Alors pourquoi avoir publié ces données ?

Nous avons simplement profité de cette occasion pour mettre l'UMP en face de ses contradictions, situation tellement ironique...

Plus de fichiers = Plus de fuites.

Et plus les fichiers sont "tendancieux", plus le risque de fuite sera grand.

  Il y a quelques mois une loi a été votée autorisant le "fichage de 45 millions de personnes honnêtes", lorsque 566 des 577 députés étaient ABSENTS !

 Il y a quelques jours, Israel s'est "rendu compte" que les données privées de 9 millions de ses citoyens circulaient sur internet.

Plus de fichiers = Plus de fuites.

La gravité de notre piratage et des données rendues publiques, quelques sms, est quelques peu désuette quand on se pose les questions suivantes :

Que se serait-il passé si ce piratage était l'oeuvre d'un pays étranger, pas forcément très amical, qui aurait pu ainsi envoyer/recevoir des mails avec l'adresse officielle de membres du gouvernement ?

Que se serait-il passé si ce piratage avait mené à un piratage de tout le site du groupe UMP ou du site l'assemblée nationale et compromettant surement des données réellement sensibles ?

Nous n'avons rien sauvegardé de ce que nous avons vu dans ces bases de données, il n'y aura pas d'autres publications de données de notre part. Nous sommes certes un peu moqueurs, mais pas plus que les personnes visées dans nos premières publications, non ?

Nous ne sommes pas des ennemis des institutions. Nous n'appelons pas à la haine, mais nous soutenons les luttes citoyennes, et même parfois, les luttes "par effraction"!Moralité :

 "Plus de fichiers = Plus de fuites."

DoX-UMP


Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider
Autres infos Sécurité


DevSecOps

À l’intersection du développement, de l’exploitation et de la sécurité, DevSecOps vise à réconcilier trois populations aux intérêts souvent divergents. Inculquer vitesse et...

Supercalculateurs

Supercalculateurs

En perte de vitesse depuis plusieurs années dans les classements mondiaux, l’Europe a pris conscience de son retard dans un domaine stratégique pour sa recherche et ses industriels. Avec EuroHPC, l’Union...

5G

5G

Le déploiement de la 4G est à peine fini que la 5G frappe à la porte ! Il faut dire que, depuis dix ans, les utilisations de la téléphonie mobile ont évolué, sous la double impulsion des besoins...

RSS
Afficher tous les dossiers

CLOUD MADE IN FRANCE : pure players, telcos, comparatif des offres - Libra, la monnaie Facebook - L'analytique mange le logiciel - ERP, dernier bastion du "on premise" ? -Les métiers de l'ANSSI - Blockchain : projets open source et langages - Le sport, vitrine des technologies - Rencontre avec Alexandre Zapolsky (Linagora)...

 

OUTILS COLLABORATIFS : comment ils rendent l'entreprise plus agile - F8, Build, I/O, WWDC : Conf. développeurs, les annonces à retenir, les produits à venir - Supercalculateurs : l'Europe contre-attaque ! - DevSecOps, la sécurité au coeur du changement - Vendre et échanger des données - Migrer d'Oracle DB vers PostgreSQL - Ghidra : le framework de la NSA en Open Source...

 

LE NOUVEL ÂGE DU CLOUD : conteneurisation, services managés et FinOps - Comment faire baisser la facture du Cloud - 2014-2019 : l'avènement d'une Europe du numérique ? - Le défi technique de la 5G - Les entreprises face à l'agilité généralisée - Visual Studio 2019 - Recettes IFTTT - Test Huawei P30 Pro : le roi de la photo !...

 

Afficher tous les derniers numéros
Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Pour fonctionner, votre entreprise doit pouvoir compter sur une solution de sauvegarde efficace, essentielle dans un monde marqué par une croissance exponentielle des données. Vous devez à la fois accélérer vos sauvegardes et pouvoir y accéder plus rapidement pour satisfaire les exigences actuelles de continuité d’activité, disponibilité, protection des données et conformité réglementaire. Dans cette ère de croissance effrénée, les cibles sur bande hors site et autres approches traditionnelles sont simplement dépassées.


L’Intelligence Artificielle promet de révolutionner la perception de la cybersécurité au coeur des entreprises, mais pas uniquement. Ce changement de paradigme engage, en effet, une redéfinition complète des règles du jeu pour les DSI et les RSSI, ainsi que l’ensemble des acteurs de la sécurité.


Lorsque l'on déploie des postes de travail, ils ont généralement tous la même configuration matérielle et logicielle (avec certaines spécificités selon les services). Mais on ne peut pas toujours tout prévoir et il arrive par exemple que de nouveaux programmes doivent être installés ou n’aient pas été prévus. L’accumulation de logiciels « lourds » est susceptible de provoquer des lenteurs significatives sur un PC allant jusqu’à l’extinction nette de l’application. Ce livre blanc explique comment optimiser les performances au travers de 5 conseils rapides à mettre en place.


Ce guide est conçu pour aider les entreprises à évaluer les solutions de sécurité des terminaux. Il peut être utilisé par les membres de l'équipe de réponse aux incidents et des opérations de sécurité travaillant avec des outils de sécurité des points finaux sur une base quotidienne. Il peut également être utilisé par les responsables informatiques, les professionnels de la sécurité, les responsables de la conformité et d’autres personnes pour évaluer leurs performances. les capacités de l’entreprise en matière de cybersécurité, identifier les lacunes dans la sécurité des terminaux et sélectionner les bons produits pour combler ces lacunes.


Tous les Livres Blancs
Derniers commentaires
Gapo, une version vietnamienne de Facebook, a été lancée lundi soirUn réseau social vietnamien s'inspirant de Facebook a été submergé par les utilisateurs lors de son lancement, dans un pays où les médias sont tous contrôlés par le régime communiste qui incite au développement de sites de partage nationaux.  [Lire la dépêche...]

Lors du lancement de la 5G à Monaco, le 9 juillet 2019 avec des équipements du contreversé chinois HuaweiLe Parlement doit donner mercredi, par un ultime vote du Sénat, son aval définitif à une proposition de loi LREM visant à sécuriser le déploiement de la 5G, attendue comme une vraie révolution dans la téléphonie mobile, malgré une plus grande vulnérabilité. [Lire la dépêche...]

Facebook va écoper d'une amende record de 5 milliards de dollars, selon des médiasL'administration Trump pourrait dévoiler dès mercredi les détails de l'accord conclu avec Facebook, dont l'amende record de quelque 5 milliards de dollars selon les médias n'est que la partie émergée de l'iceberg et peut-être la moins douloureuse pour le premier réseau social du monde. [Lire la dépêche...]

Si les entreprises visées par l'enquête lancée mardi par les autorités américaines ne sont pas nommées, celle-ci semble cibler les sociétés comme Google, Facebook, Amazon, et peut-être aussi AppleLes géants des réseaux sociaux, des moteurs de recherche et du commerce en ligne sont-ils devenus trop puissants? Washington a officiellement lancé mardi une vaste enquête pour le déterminer. [Lire la dépêche...]

Image de synthèse diffusée le 18 juin 2019 par The Planetary Society de la voile solaire LightSail 2 déployée en orbiteUn mois après son lancement dans l'espace, la voile solaire de l'organisation américaine Planetary Society s'est déployée mardi correctement en orbite autour de la Terre. [Lire la dépêche...]

Facebook veut réparer une faille permettant aux enfants de se connecter à des personnes non autorisées sur Messenger KidsFacebook a reconnu mardi qu'une faille dans Messenger Kids permettait aux enfants de discuter avec des personnes que leurs parents n'avaient pas approuvées, contrairement aux règles établies par la messagerie dans sa version pour les enfants.  [Lire la dépêche...]

Le PDG d'Atos Thierry Breton le 3 juin 2019L'ancien ministre et PDG d'Atos, Thierry Breton, son épouse et son chauffeur, qui loge à son domicile, ont été victimes dans la nuit de samedi à dimanche à Paris d'un cambriolage au cours duquel les agresseurs les ont frappés et séquestrés, a-t-on appris mardi de sources concordantes. [Lire la dépêche...]

Des initiatives d'internautes pour assécher financièrement les relais de la haine en ligneAssécher financièrement les relais de la haine en ligne: tel est l'objectif des Sleeping Giants ("géants endormis") venus des Etats-Unis, ou de StopHateMoney et Ripost lancés en France cette année, qui cherchent à priver des sites controversés de recettes publicitaires, voire à tarir leur écosystème. [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

BLACK HAT

Événement majeur mondial sur la sécurité de l'information la conférence Black Hat USA a lieu du 3 au 8 août 2019 à Las Vegas (Mandalay Bay). Organisé par UBM.

VMWORLD US

VMware réunit clients et partenaires à l'occasion de la conférence VMworld édition américaine à San Francisco du 25 au 29 août 2019. Organisée par VMware.

RURALITIC

Ruralitic tient à Aurillac (centre des congrès) sa 14ème édition du 27 au 29 août 2019. Organisé par Mon Territoire Numérique et le Conseil départemental du Cantal.

IFA

IFA IFA
Le plus grand salon professionnel européen de l'électronique grand public a lieu à Berlin du 6 au 11 septembre 2019. Organisé par Messe Berlin.

SALONS SOLUTIONS

ERP, CRM, BI, E-Achats, Démat, Archivage, SDN/InfotoDoc, Serveurs & Applications - du 1er au 3 octobre 2019 à Paris, Porte de Versailles (Pavillon 3). Organisés par Infopromotions.

LES ASSISES

Grand rendez-vous annuel des RSSI, les Assises de la sécurité des systèmes d'information se tiennent à Monaco (Grimaldi Forum) du 9 au 12 octobre 2019. Organisées par DG Consultants.
RSS
Voir tout l'AgendaIT