Dell a envoyé un e-mail à ses clients pour les avertir d'une fuite de données : un pirate est parvenu à voler les informations de 49 millions de clients. Voici ce qu'il faut savoir !

Il y a quelques jours, Dell a alerté ses clients qu'un tiers non autorisé était parvenu à accéder et à exfiltrer les informations personnelles de 49 millions de clients. Par l'intermédiaire de ce portail Dell, le pirate est parvenu à accéder aux informations suivantes : nom, adresse physique et des données sur le matériel Dell. En effet, pour chaque client, il y a un récapitulatif des commandes Dell, avec le nom du produit, la date de la commande, les détails sur la garantie ou encore le Service Tag de chaque produit, c'est-à-dire le numéro de série.

Cette notification envoyée par e-mail fait suite à l'annonce publiée sur Breach Forums le 28 avril dernier, par un cybercriminel surnommé Menelik. C'est à cette date qu'il a mis en vente la base de données avec les clients de Dell. D'après lui, il s'agit d'informations correspondantes aux clients Dell entre 2017 et 2024. Voici un aperçu de cette annonce :

L'origine de cette fuite de données

Les journalistes du site BleepingComputer sont parvenus à échanger avec Menelik, le cybercriminel à l'origine de cette fuite de données. Il a indiqué qu'il avait découvert et utilisé un portail Dell dédié aux partenaires et aux revendeurs pour accéder aux données.

Pour obtenir un accès à ce portail, il a créé plusieurs comptes avec des noms d'entreprises fictifs et il a eu accès dans les 48 heures. D'après lui, il suffit de compléter un formulaire et de patienter que la demande soit approuvée. Ce qui interroge sur le processus de vérification de Dell...

Il a créé un programme pour générer des codes Service Tag sur 7 caractères afin de pouvoir interroger le portail par l'intermédiaire de l'API. Résultat, il a pu récolter les informations de 49 millions de clients en générant 5 000 requêtes par minute pendant trois semaines. Dell n'a jamais bloqué les tentatives effectuées via l'API.

Il a également notifié Dell pour avertir l'entreprise américaine de la présence de cette vulnérabilité dans son système. Néanmoins, l'entreprise américaine n'a pas répondu. D'ailleurs, Dell a indiqué avoir détecté cet incident de sécurité avant de recevoir l'e-mail de Menelik. Une enquête judiciaire serait ouverte pour mener des investigations et tenter d'identifier l'auteur.

Source

The post Fuite de données Dell : un pirate est parvenu à voler les informations de 49 millions de clients ! first appeared on IT-Connect.

Dell informe ses clients d'une fuite de données, tandis qu'un pirate affirme détenir les informations de 49 millions de clients de l'entreprise.

Dell informe ses clients d'une fuite de données, tandis qu'un pirate affirme détenir les informations de 49 millions de clients de l'entreprise.

Aleksanteri Julius Kivimäki a été condamné par la justice finlandaise à six ans de prison. Ce cybercriminel recherché par Europol avait été arrêté par hasard par la police française.

Aleksanteri Julius Kivimäki a été condamné par la justice finlandaise à six ans de prison. Ce cybercriminel recherché par Europol avait été arrêté par hasard par la police française.

Dropbox a subi une intrusion dans ses systèmes, entraînant l'exposition de données sensibles telles que les mots de passe des utilisateurs de son option « Dropbox Sign ».

Dropbox a subi une intrusion dans ses systèmes, entraînant l'exposition de données sensibles telles que les mots de passe des utilisateurs de son option « Dropbox Sign ».

J’sais pas si vous savez, mais dès que vous créez un fichier, il y a plein de données qui se retrouvent dedans, la plupart du temps à votre insu… Et ça fonctionne avec tout : Photos, documents, morceau de musique et j’en passe. Cela s’appelle des Métadonnées, ça n’a rien de nouveau mais c’est bien utile aux pentesteurs et autres experts OSINT pour mener à bien leurs enquêtes.

Évidemment, les mecs ont autre chose à faire et plutôt que d’aller fouiller tout à la main, ils se reposent sur des outils comme celui que je vous présente aujourd’hui et qui s’appelle MetaDetective.

Développé par des passionnés de cybersécurité, MetaDetective est propulsé par Python et contrairement à certains outils qui dépendent d’une myriade de bibliothèques externes, il est plutôt autonome et simple à utiliser. Seul prérequis : avoir exiftool installé sur votre système. Une fois cette étape franchie, vous êtes prêt à plonger dans l’aventure !

L’une des forces de MetaDetective réside surtout dans sa capacité à catégoriser et à présenter les métadonnées de manière intuitive. Fini le casse-tête des données brutes et désorganisées. Que vous analysiez un fichier unique ou un ensemble de documents, MetaDetective vous offre une vue d’ensemble claire et structurée. Chaque information est minutieusement classée, vous permettant de naviguer aisément dans la richesse des données extraites.

L’outil intègre des fonctionnalités avancées de web scraping et là où d’autres se contentent de gratter la surface, MetaDetective, lui, plonge en profondeur, explorant méticuleusement de nombreux sites web pour en extraire les métadonnées les plus pertinentes. Oubliez les restrictions d’IP et les proxy laborieux à des services tiers, puisqu’il va directement se fournir à la source.

Vous pourrez bien évidemment ajuster la profondeur d’exploration, cibler des types de fichiers spécifiques, et même exclure certains termes pour affiner vos résultats. Et grâce à ses options d’exportation flexibles, vous pouvez générer des rapports clairs au format HTML ou texte.

Mais attention, avec un grand pouvoir vient une grande responsabilité. L’utilisation de MetaDetective doit se faire dans le respect des lois et réglementations en vigueur. Cet outil puissant ne doit pas être utilisé à des fins malveillantes ou illégales.

Pour en savoir plus sur MetaDetective et accéder à sa documentation complète, rendez-vous ici.

Selon une étude, la France est l'un des pays les concernés au monde par les fuites d'informations personnelles. Le nombre de mots de passe en ligne appelle à la vigilance.

Selon une étude, la France est l'un des pays les concernés au monde par les fuites d'informations personnelles. Le nombre de mots de passe en ligne appelle à la vigilance.

Les médias allemands révèlent que la Chine a espionné le groupe automobile Volkswagen pendant cinq ans, dérobant des dizaines de milliers de documents confidentiels, dont des informations sur les véhicules électriques.

Les médias allemands révèlent que la Chine a espionné le groupe automobile Volkswagen pendant cinq ans, dérobant des dizaines de milliers de documents confidentiels, dont des informations sur les véhicules électriques.

Aïe aïe aïe, on dirait bien que ce cher TikTok s’est encore fourré dans un sacré pétrin ! Figurez-vous que ces petits malins ont eu la riche idée de lancer en douce une nouvelle fonctionnalité dans leur app, sobrement intitulée « Task & Rewards« , dispo en France et en Espagne. Jusque-là, rien de bien méchant, me direz-vous sauf que voilà, cette version soi-disant « light » du réseau social cache en fait un système de récompenses qui paye les utilisateurs en échange de leur fidélité. Et ça, ça ne plaît pas du tout à l’Union Européenne !

En effet, la Commission Européenne vient de sortir l’artillerie lourde en exigeant des réponses de la part de TikTok dans un délai de 24 heures. Pourquoi tant de précipitation ? Eh bien figurez-vous que cette nouvelle fonctionnalité « Task & Rewards » qui rémunère les utilisateurs de plus de 18 ans à coup de bons d’achat ou de « coins » virtuels en échange de leur attention, inquiète.

Toute d’abord, on peut légitimement se poser la question de l’impact d’un tel système sur la santé mentale des utilisateurs, et en particulier des plus jeunes. Parce que bon, encourager les gens à scroller comme des zombies pour gratter trois cacahuètes, c’est quand même un peu limite… Surtout quand on sait à quel point les réseaux sociaux peuvent générer des comportements addictifs. La Commission s’inquiète notamment de l’efficacité de la vérification de l’âge des utilisateurs et de la gestion des plaintes par la plateforme.

Ensuite, il y a la question épineuse de la protection des données personnelles parce que pour distribuer ses récompenses, TikTok va forcément récolter encore plus d’infos sur nos habitudes, nos goûts, nos clics… Bref, de quoi remplir gentiment sa base de données, nourrir son algorithme et cibler toujours plus finement les utilisateurs.

Et là, l’UE ne rigole pas, elle veut des réponses, et vite !!!

TikTok a donc 24 heures chrono pour fournir son évaluation des risques liés à ce nouveau programme et s’il s’avère que la boîte chinoise a encore une fois voulu capturer toutes nos données sans prendre les précautions qui s’imposent, ça risque de chauffer pour son matricule ! La Commission a des pouvoirs qui pourraient potentiellement forcer TikTok à revoir entièrement, voire stopper son modèle économique si des impacts toxiques son relevés.

Bien sûr, TikTok assure qu’il a pris toutes les dispositions nécessaires, genre limiter l’accès à la fonctionnalité « Task & Rewards » aux plus de 18 ans, plafonner les récompenses à environ 1€ par jour et limiter le temps passé quotidiennement sur l’app, pour gratter des points, à seulement une heure. Mais bon, on ne va pas se mentir, ça ressemble quand même furieusement à une stratégie pour garder les gens le plus longtemps possible sur la plateforme. Comme d’hab quoi.

Les associations de consommateurs en Europe avaient déjà tiré la sonnette d’alarme sur l’UX / UI de la plateforme, notamment l’utilisation de monnaie virtuelle pour créer des incitations à l’engagement. Mais à en juger par la surveillance exercée par la Commission sur l’approche de l’app chinoise en matière de conformité au Digital Services Act (DSA), celle-ci devra peut-être aller plus loin pour satisfaire les responsables de ce nouveau règlement européen.

Alors attention TikTok, l’UE a l’œil sur toi !

C’est vachement pratique de pouvoir récupérer sa chambre d’hôtel après une grosse journée, simplement en passant par le terminal qui se trouve dans l’entrée de l’hôtel. On tape son nom, on paye et paf, on récupère son numéro de chambre et le code pour y accéder. Sauf que ce que vous ignorez peut-être, c’est que ce même terminal vient potentiellement d’exposer votre code d’accès à des personnes mal intentionnées…

C’est exactement ce qui s’est passé dans un hôtel IBIS Budget à Hambourg, en Allemagne. Lors d’un congrès de hackers, la société Pentagrid a remarqué une faille de sécurité pour le moins inquiétante dans le terminal de check-in. Ainsi, en entrant une série de tirets à la place du numéro, le terminal liste toutes les réservations avec leur numéro, la date d’arrivée prévue et le prix total du séjour. Puis en sélectionnant une réservation, on accède directement au numéro de chambre et au code d’accès de la porte.

Dans l’hôtel en question, pas moins de 87 réservations étaient ainsi exposées, soit près de la moitié des 180 chambres de l’établissement !

Vous imaginez le désastre si ces codes tombaient entre de mauvaises mains ? Adieu vos effets personnels, surtout dans un hôtel bas de gamme comme celui-ci qui n’est pas équipé de coffres-forts dans les chambres. Et je vous parle pas des agressions en pleine nuit ! C’est la porte ouverte à toutes les fenêtres comme dirait l’autre.

Fort heureusement, Pentagrid a immédiatement signalé cette faille à la chaîne hôtelière Accor, propriétaire des hôtels IBIS. Le problème a depuis été corrigé, mais il aura fallu quand même plusieurs échanges et relances de la part des hackers pour que des actions soient entreprises de la part d’Accor.

Mais comment une telle faille a-t-elle pu se produire ? Et bien d’après les informations fournies par Pentagrid sur leur blog, il semblerait que le terminal de check-in ait une fonction de recherche des réservations qui nécessite uniquement le numéro de réservation pour afficher le numéro de chambre et le code d’accès. Donc c’est pas un bug, c’est une feature qui a mal tournée…

Le pire dans tout ça, c’est que de base, les numéros de réservation ne sont pas une donnée très sécurisée puisqu’on les retrouve sur toute la paperasse comme les factures…etc qui peuvent ensuite être récupérées dans une poubelle par exemple. Donc n’importe qui pourrait mettre la main dessus et accéder à votre chambre.

C’est pourquoi les auteurs de cette découverte recommandent aux hôtels de mettre en place une vérification supplémentaire pour accéder aux informations de réservation, comme un code PIN qui serait communiqué séparément au client. Les terminaux devraient aussi supprimer automatiquement les réservations dès que les informations ont été imprimées ou consultées.

En attendant, si vous séjournez dans un hôtel IBIS Budget prochainement, n’allez pas vous amuser à vérifier que la faille a été corrigée sur le terminal de check-in parce que vous ne voulez pas finir en prison pour piratage (lol).

En tout cas, sachez-le, la prochaine fois que je dors à l’IBIS, je vous attendrais de pied ferme en embuscade dans mon peignoir façon biopic DSK par Liam Neeson.

Source

Vous en avez marre des logiciels de stéganographie qui ne tiennent pas vraiment leurs promesses en matière de sécurité et de furtivité ?

Ne cherchez plus, voici SecretPixel, un excellent outil pour planquer vos données sensibles dans des images afin de pouvoir ensuite les transmettre en toute discrétion.

Alors qu’est-ce qui fait de SecretPixel un outil si balèze comparé aux autres ? Déjà, il combine un chiffrement AES-256 de ouf pour vos données, avec une clé de session elle-même chiffrée avec RSA. Rien que ça, ça veut dire que seul le détenteur de la clé privée RSA pourra déchiffrer vos infos cachées. Niveau sécurité, on est donc au top.

Mais ce n’est pas tout ! Avant d’être chiffrées, vos données sont compressées avec zlib, ce qui réduit leur taille et minimise les schémas détectables par les outils de stéganalyse (oui c’est comme ça qu’on dit). Et pour vraiment brouiller les pistes, SecretPixel utilise un générateur de nombres pseudo-aléatoires pour déterminer les pixels qui vont accueillir vos bits cachés. Vos données sont ainsi éparpillées dans toute l’image, rendant leur détection quasi impossible, même avec des outils comme zsteg.

Le processus de chiffrement garantit que les données cachées restent confidentielles, tandis que la compression et la distribution aléatoire des données rendent extrêmement difficile pour les outils de stéganalyse de détecter la présence d’informations intégrées. L’utilisation d’un générateur de nombres aléatoires avec amorçage ajoute une couche de sécurité supplémentaire, car le schéma des données intégrées ne peut pas être prédit sans connaître l’amorce.

En prime, SecretPixel stocke aussi le nom original de votre fichier caché dans l’image. Comme ça, quand vous l’extrairez, il aura toujours son petit nom. Pratique non ?

Et vu qu’il est écrit en Python, vous pouvez l’utiliser sur n’importe quel système, tant que vous avez Python d’installé.

SecretPixel est conçu pour fonctionner avec une variété de formats de fichiers image : PNG, BMP, TGA et TIFF. Il est important de noter que le format d’image hôte choisi peut avoir un impact sur l’efficacité du processus de stéganographie. Les formats sans perte comme PNG et TIFF sont préférables pour garantir qu’aucune donnée n’est perdue pendant le processus d’intégration.

Maintenant, pour mettre la main sur ce petit bijou, rien de plus simple. Clonez le dépôt GitHub ou téléchargez le code source. Assurez-vous d’avoir Python 3 et les packages requis, et c’est parti !

git clone https://github.com/x011/SecretPixel.git

cd SecretPixel

pip install -r requirements.txt

Avant de jouer à cache-cache avec vos données, vous allez avoir besoin d’une paire de clés RSA – une clé privée et une clé publique. Pas de panique, les dev ont pensé à tout avec un script Python pour vous faciliter la tâche. Lancez donc generate_keys.py qui va vous générer une paire de clés RSA de 4096 bits en un clin d’oeil.

python generate_keys.py

Choisissez une phrase de passe bien corsée pour votre clé privée. Elle sera chiffrée avec AES-256 pour une protection maximale. Une fois le script terminé, vous aurez deux fichiers tout beaux tout chauds : myprivatekey.pem (votre clé privée chiffrée) et mypublickey.pem (votre clé publique, à partager sans modération).

Maintenant, passons aux choses sérieuses. Pour planquer un fichier dans une image, lancez cette commande :

python secret_pixel.py hide host.png secret.txt mypublickey.pem output.png

Avant d’intégrer des données, l’image hôte ne doit pas contenir de contenu stéganographique antérieur ou de métadonnées sensibles qui pourraient entrer en conflit avec les nouvelles données ou révéler leur présence. En sélectionnant et en préparant soigneusement l’image hôte, vous améliorerez considérablement la sécurité et l’indétectabilité des données intégrées dans l’image.

De plus, l’image hôte servant de support pour les données cachées, afin de maintenir l’intégrité du processus de stéganographie et éviter la détection, il est crucial que l’image hôte soit suffisamment grande pour accueillir le fichier caché. En règle générale, l’image hôte doit avoir une capacité (en octets) au moins trois fois supérieure à la taille du fichier à cacher pour garantir que les modifications sont subtiles et largement dispersées.

Et hop, votre secret.txt est incrusté incognito dans host.png en utilisant votre clé publique mypublickey.pem. L’image résultante output.png a l’air innocente, mais elle cache bien son jeu !

Pour exfiltrer votre fichier caché d’une image, c’est tout aussi simple :

python secret_pixel.py extract carrier.png myprivatekey.pem [extracted.txt]

Votre fichier caché ressort de carrier.png grâce à votre clé privée myprivate.pem. Si vous ne fournissez pas de nom de fichier pour le .txt se sortie (extracted.txt), l’outil utilisera le nom du fichier qu’il aura conservé.

Bonne carrière d’agent secret à tous !

Merci à Lorenper

Des chercheurs de l’université d’Aston, en collaboration avec des pointures japonaises et américaines, viennent de réussir un exploit digne des meilleurs films de science-fiction. Ils ont réussi à transférer des données à une vitesse complètement délirante de 301 térabits par seconde, soit 301 millions de mégabits par seconde.

Pour vous donner une idée, c’est 4,5 millions de fois plus rapide que la moyenne du haut débit au Royaume-Uni, qui se traîne péniblement à 69,4 Mbit/s. Même aux États-Unis, où les connexions sont plus véloces avec une moyenne de 242,4 Mbit/s, ça reste plus d’un million de fois plus lent que ce que nos chers scientifiques ont réussi à atteindre.

Mais comment diable ont-ils fait pour arriver à un tel résultat ? Eh bien figurez-vous qu’ils ont utilisé de nouvelles bandes de longueurs d’onde qui ne sont pas encore exploitées dans les systèmes de fibre optique classiques. C’est un peu comme s’ils avaient découvert de nouvelles couleurs dans la spectre de la lumière capables de transporter les données à une vitesse supersonique dans les câbles. Ils ont même développé des amplificateurs optiques et des égaliseurs de gain pour dompter ces fameuses bandes et les rendre utilisables.

Le Dr Ian Phillips, qui a mené le développement d’un processeur optique à l’université d’Aston, explique que les données ont été envoyées via une fibre optique similaire à une connexion internet domestique. Sauf qu’en plus des bandes C et L disponibles dans le commerce, ils ont utilisé ces deux bandes spectrales supplémentaires, E et S, qui sont environ trois fois plus larges que les bandes C et L réunies. Avant leur invention, personne n’avait réussi à émuler correctement les canaux de la bande E de manière contrôlée.

Le professeur Forysiak, un autre cerveau de l’équipe, souligne que cette réalisation révolutionnaire met en lumière le rôle crucial des avancées dans la technologie de la fibre optique pour révolutionner les réseaux de communication et permettre une transmission de données plus rapide et plus fiable. En augmentant la capacité de transmission dans le réseau principal, leur expérience pourrait conduire à des connexions considérablement améliorées pour les utilisateurs finaux.

Et le plus beau dans tout ça, c’est que cette prouesse ne nécessite pas de nouvelles infrastructures pour améliorer drastiquement les vitesses internet. Elle permet d’augmenter significativement le débit des câbles de fibre optique existants. C’est non seulement une solution plus écologique que de déployer de nouvelles fibres et de nouveaux câbles, mais cela permet aussi de prolonger la durée de vie et la valeur commerciale du réseau de fibres déjà en place.

Alors certes, on n’est pas près de voir débarquer cette technologie de dingue chez nous, mais imaginez un peu ce que ça pourrait changer. Télécharger un film en 4K ? Une fraction de seconde. Streamer du contenu en 8K sans la moindre latence ? Facile. Jouer en ligne avec un ping proche du zéro absolu ? Du gâteau. Les possibilités sont juste hallucinantes.

Et ce n’est pas tout, car cette avancée pourrait aussi révolutionner l’accès à internet dans les zones mal desservies. Fini les connexions pourries dans les campagnes ou les régions reculées. Avec des débits pareils, on pourrait enfin avoir un internet à très haut débit partout, pour tout le monde. Ça serait un véritable bond en avant pour réduire la fracture numérique. Si Free propose ça un jour, promis, je change de crèmerie ^^.

Mais ne nous emballons pas trop vite non plus. Il faudra sûrement des années avant que cette technologie ne se démocratise et arrive dans nos petits foyers. Les opérateurs devront adapter leurs infrastructures, les fabricants devront créer des équipements compatibles, et tout ça va prendre un temps fou et coûter un bras. Mais quand même, savoir que c’est possible, et que des petits génies sont en train de repousser les limites de la science pour nous offrir un internet de folie, ça fait rêver.

Source

À cause de leurs moyens limités et de leur mission première (sauver des vies), les hôpitaux sont des cibles de choix pour les hackers malveillants. Les centres de soins sont forcés à s'adapter et à sécuriser leurs systèmes informatiques en recherchant la meilleure solution à moindre prix.

Dans la masse des cyberattaques, les établissements de santé ont une place de choix. Les raisons sont multiples et forcent les centres de soin à s’adapter et à sécuriser leur système informatique du mieux qu’ils peuvent.

Les récentes cyberattaques contre la FFF, France Travail ou les mutuelles offrent une base de données « fraiches » que les cybercriminels pourraient exploiter en vue des Jeux Olympiques à Paris cet été.