Android : un cheval de Troie cible les clients Crédit Agricole et Banque Populaire

Par Thibaut Popelier Le 20 novembre 2018 11

cheval de troie

Même si gérer son compte en banque directement depuis un smartphone ou une tablette facilite grandement la vie des utilisateurs, il faut tout de même faire attention aux applications téléchargées. Dernièrement, plusieurs établissements ont été touchés par un Trojan qui aurait pu coûter très cher aux clients.

Portant le doux nom de « Android.Banker.2876 », ce cheval de Troie était dissimulé dans des applications frauduleuses sur Google Play. Si elles semblaient être officielles au premier abord, elles embarquaient en réalité ce malware qui pouvait récupérer des informations confidentielles, comme les données de votre carte SIM, des infos techniques sur votre smartphone et bien plus encore.

Plusieurs pays européens concernés

Le Trojan avait pour but d‘intercepter l’ensemble des SMS de l’utilisateur, dont les codes de vérification envoyés par votre banque. C’est l’éditeur russe en charge de trouver des solutions pour la sécurité informatique, Doctor Web, qui a découvert cela durant une enquête. Plusieurs banques en Espagne et en Allemagne ont été touchées.

En France, le Crédit Agricole ou encore la Banque Populaire font partie des concernées. Les applications renfermant ce cheval de Troie sont les suivantes : Secure Mas, Mobile Populaire, Mobile agricole, Movil Secure et Electronica Mobil. Dès lors que Google a eu vent de ces informations, les applications ont été directement retirées de Google Play.

Source : Phonandroid


Plus besoin de mots de passe pour accéder à son compte Microsoft

Par Mathieu Grumiaux Le 21 novembre 2018 6

windows 10 fido2

L’éditeur a intégré le support du standard FIDO2, permettant de se connecter à un compte Microsoft par une clé d’accès USB ou Windows Hello.

Microsoft plante un clou dans le cercueil du mot de passe

Microsoft tente de supprimer le mot de passe de nos habitudes. L’éditeur intègre dans Windows 10 le support du standard FIDO2, permettant de se connecter à un compte Microsoft par la présence d’une clé USB sécurisée.

Selon The Verge, deux partenaires, Yubico et Feitan Technologies, ont déjà mis à disposition différentes clés de sécurité, conçues autour de la norme WebAuthn qui offre une plus grande sécurité lors de l’identification qu’une simple suite de caractères.

Microsoft va également utiliser son protocole Windows Hello. Les appareils équipés d’une caméra de reconnaissance faciale ou d’un capteur d’empreintes, comme les tablettes Surface Pro et quelques ordinateurs de constructeurs tiers pourront troquer le mot de passe contre une identification biométrique.

Il leur suffira de se connecter aux réglages de leur compte Microsoft via le navigateur Edge et d’enregistrer leur machine dans les paramètres de connexion. Pour le moment seul ce navigateur est compatible, mais Chrome et Firefox devraient suivre une fois les standards d’authentification intégrés dans les deux navigateurs.

Pour l’éditeur, ces clés sont indispensables à la sécurité des données

La connexion au compte Microsoft via ces deux méthodes sera liée alors à une clé de sécurité stockée sur les serveurs de l’entreprise et comparée à la clé physique ou biométrique présente sur les ordinateurs pour autoriser l’accès à tous ses services, de Skype à Xbox en passant par OneDrive ou Office.

Pour l’éditeur de Redmond, l’implémentation de ces différentes méthodes d’identification permettra d’empêcher plus efficacement les tentatives de phishing. Il n’est pas le seul à avoir intégré le support de FIDO2 dans ses logiciels. Facebook et Google ont déjà annoncé des initiatives similaires plus tôt dans l’année.

Modifié le 21/11/2018 à 17h10

Il y a 6 commentaires, participez à la discussion

daffys2142 il y a 1 mois

Et si la clef plante !

DuboisS il y a 1 mois En réponse à daffys2142

Et si la clef plante !

Serrurier !

zaxxonFive il y a 1 mois En réponse à DuboisS

Serrurier !

tu parles du voisin ?
“maman maman c’est quoi ça”
“ça c’est la porte du paradis”
“papa papa, c’est quoi ça ?”
“ça, c’est la clé du paradis”
“papa papa, atention, le voisin il a un double”

illuminati il y a 1 mois

“Pour l’éditeur, ces clés sont indispensables à la sécurité des données.”

Je vais corriger…

“Pour l’éditeur, ces clés biométriques sont indispensables pour ajouter une photo du visage d’un individu à leur banque de données contenant toutes les informations le concernant. Ces informations pourront ensuite être revendu à la NSA, à la CIA, au FBI, ou à toute autres organisation afin qu’ils catégorisent leurs citoyens.”

Feunoir il y a 1 mois

microsoft, leur a fallu + d’un mois pour se rendre compte que j’avais des accès IMAP de toute la planète sur mon hotmail (Brésil, Russie, Chine, Italie, Malaisie … en une quinzaine de jours, je me faisais vraiment plaisirs en gros)
j’ai appris au passage que la double authentification sert a rien par là quand ils ont obtenu un mot de passe application (que donne microsoft pour ces vieux soft comme gfwl, qui ne supporte pas la validation via sms)

donc, a mon avis, si vous utilisez la double authentification, bannissez tous les softs qui nécessitent un mot de passe application généré par le site de microsoft, et si vous avez un mot de passe application valide, dégagez le sur la page sécurité du compte microsoft

le pire c’est que je n’utilise ni Imap ni pop3 sur ce mail (courrier de win10 semble pas utilisé imap), mais pas possible de dégager ces porte d’accès contrairement à un compte gmail

comment ils ont eu ce mot de passe application que j’ai dû utiliser qu’une fois en tout en 2017?, là par contre c’est le truc que je ne saurais jamais (serveur gfwl piraté?) Édité il y a 1 mois

nikon561 il y a 1 mois

vu l’implementation, n’esperez pas ameliorer votre securitée grace a cela.
en effet, outre le besoin d’un mot de passe sur le compte, l’ajout d’une telle clé necessite l’ajout d’un code PIN egalement. sauf que pour deverouiller, alors que la logique voudrait que l’on utilise soit le mot de passe, soit la clef, soit la clef + PIN, windows propose le mot de passe, la clefseule, ou le simple PIN seul. resultat, qqun avec un mot de passe fort ajoute cette clef esperant augmenter le niveau de secu, finis en fait par…le reduire.

Facebook a donné accès à vos messages privés à Netflix et Spotify

Par Pierre Crochart Le 19 décembre 2018 9

facebook messenger

Une enquête édifiante publiée par le New York Times révèle que Facebook a partagé, des années durant, des quantité astronomiques de données personnelles. Netflix et Spotify, pour ne citer qu’eux, avaient ainsi un accès total aux messages privés des utilisateurs.

Le quotidien américain a épluché quelque 200 pages de documents générés automatiquement par Facebook, résumant plus de 7 années de partenariats avec des entreprises tierces. « Les transactions, dont les plus anciennes remontent à 2010 » écrit le Times, « étaient toutes actives en 2017. Certaines étaient encore en vigueur cette année. »

Des accès en lecture et en écriture aux messages privés Facebook

Parmi les partenariats de « partage de données » noués par Facebook, ce sont sans doute ceux qui liaient le réseau social à Netflix, Spotify et la Banque Royale du Canada qui créera du remous. Pour cause : ces partenaires bénéficiaient d’un accès total aux messages privés des utilisateurs, aussi bien en lecture qu’en écriture. Cela signifie que ces entreprises pouvaient accéder à loisir à la messagerie privée des utilisateurs Facebook et, potentiellement, rédiger des messages à leur place.

À ces révélations, Netflix et Spotify se sont défendu d’avoir eu connaissance qu’une telle permission leur était accordée. « À aucune moment nous n’avons accédé aux messages privées Facebook de nos utilisateurs, ou demandé la permission de le faire », explique Netflix à The Verge.

Même son de cloche pour la Banque Royale du Canada, dont le New York Times rapporte qu’elle « conteste le fait que la banque bénéficiait d’un tel accès ».

Facebook, de son côté, en appelle à la responsabilité de chacun de ses partenaires d’alors. « Les partenaires de Facebook n’ignorent pas les paramètres de confidentialité de nos utilisateurs, et il est malhonnête de suggérer qu’ils passent outre », déclare Steve Satterfield, le directeur du respect de la vie privée des utilisateurs chez Facebook.

L’entreprise a par la suite publié un long billet explicatif sur son blog. Selon elle, aucun des partages de données avec des entreprises tierces ne vient rompre le pacte noué en 2012 avec la FTC. Pour mémoire, ce pacte avec la Federal Trade Commission stipulait que Facebook avait l’interdiction formelle de partager les données de ses utilisateurs sans recueillir leur autorisation explicite au préalable.

Apple, Amazon, Microsoft également concernés

L’enquête du Times divulgue également le nom d’autres entreprises ayant profité à plein des largesses de Facebook en matière de « partage de données ». Apple, par exemple, avait accès aux contacts et au calendrier de tous les utilisateurs, même s’ils avaient désactivé le partage de ces données. La firme de Cupertino s’est également défendue auprès du New York Times d’avoir quelconque connaissance d’un tel accès. Un partenariat qui, selon le quotidien, est toujours d’actualité entre les deux entreprises.

Pour Amazon, Facebook ouvrait grand les vannes des informations de contact (adresses email, numéros de téléphone, adresse) des utilisateurs. Microsoft, qui a affirmé au Times avoir supprimé les données depuis, bénéficiait d’un accès privilégié aux noms et informations de profil des amis d’amis des utilisateurs de Bing.

Une confiance à rebâtir

Ce nouveau scandale intervient cinq jours après que Facebook a concédé avoir autorisé l’accès à des applications tierces à toutes les photos et vidéo de plus de 6,8 millions d’utilisateurs, même celles qui n’étaient pas publiques.

Si le réseau social le plus populaire du monde est conscient que son année 2018 n’a pas été des plus reposantes, la réponse de Steve Satterfield ne semble pas à la hauteur de la gravité des révélations. « Nous savons que nous avons du travail à faire pour regagner la confiance des utilisateurs », déclare-t-il au New York Times.

Plus loin dans sa réponse, le monsieur protection des données personnelles de Facebook affirme que son entreprise fait son maximum pour réduire les partenariats d’intégration qui permettent aux entreprises tierces d’accéder aux données des utilisateurs.

« Réduire ». Modifié le 19/12/2018 à 11h02

Il y a 9 commentaires, participez à la discussion

U-4rm il y a 17 jours

Quelle bande d’escrocs.
“le monsieur protection des données personnelles de Facebook affirme que son entreprise fait son maximum” : l’entreprise fait le maximum et il est constaté que même le minimum n’est pas fait. Facebook se moque du monde.

mokocchi il y a 17 jours

Ces entreprises en ont bien profité avant que l’API Facebook était, sciemment ou non, exposée comme passoire.
Les soi-disants garde-fous et autres paramètres de confidentialité n’engagent en rien les différents acteurs et n’existent que pour rassurer l’utilisateur. Les trucs comme le RGPD ne servent à rien pour ces acteurs car ils ont des moyens plus insidieuses pour aller fouiller dans nos données et les distribuer avec le reste du cartel. Édité il y a 17 jours

vbond il y a 17 jours

Nous sommes la génération “test” de ces grosses entreprises (GAFA) qui misent tout sur les données que nous générons. C’est à nous de réagir et de ne pas les laisser faire.
Comment peut-on accepter d’être utilisés, manipulés, espionnés ainsi par ces entreprises.
Il ne tient qu’à nous de fermer nos comptes Facebook et d’arrêter de raconter nos vies dont tout le monde se fout royalement au final.
Personnellement ca fait 8 ans que je n’ai pas utilisé Facebook, mais j’utilise Whatsapp, donc ca revient au même, j’imagine que Facebook analyse probablement les messages que j’envoie (ça doit être passionnant).
Mais c’est pareil pour Amazon (via Alexa), Google (via… tout finalement), Microsoft, Apple qui nous espionnent probablement et partagent surement les données ainsi récoltées…
Vive le SMS, le télégramme et les signaux de fumée et les vraies soirées avec nos amis loin de tout appareil connecté.

bmustang il y a 17 jours

Facebook n’est qu’une bande de pourris et les autres répondent la même phrase (copie/colle) ‘nous savions pas que des accès étaient permis comme cela !? Mais de qui se moque t-on ? Il est vraiment tant que facebook disparaisse à jamais !

ptipoi il y a 17 jours

C’est pas comme si on aviez eté trahie. Depuis le temps que l’on sait qui ils sont, on va pas s’étonner ou faire semblant d’etre choqué. Fermez vos comptes, quittez les R/S, c’est l’unique reponse pour les punir. Édité il y a 17 jours

PierreKaiL il y a 17 jours

“Des accès en lecture et en écriture aux messages privés Facebook”
WTF mais carrément ? SI c’est vrai là ça risque de leur coûter cher

KlingonBrain il y a 17 jours

Ca serait plus simple de se demander qui n’a pas encore nos données personnelles…

Sérieusement, si dans le futur nous voulons préserver notre droit à la vie privée, il ne faut plus confier nos données à des tiers, ni a des logiciels propriétaires.

Les entreprises privées montrent qu’on ne peut pas leur faire confiance… Édité il y a 17 jours

detonyle il y a 16 jours

:slight_smile:

une belle bande d’hypocrite ici dites moi

Papounet17 il y a 16 jours

Il faut encore et toujours faire grossir le veau d’or.