Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode se déroule toujours en pleine pandémie, alors que le confinement se poursuit. Les vaccins commencent à arriver, mais les mesures d’hygiène publique, la distanciation et le port du masque demeurent essentiels pour espérer un été plus libre. Nicolas profite de l’occasion pour mentionner le SECU de Québec numérique, un événement de sécurité prévu le 15 avril, ainsi que le lancement d’un nouveau podcast nommé Incidence, animé par Virginie, qui creuse divers sujets avec un regard critique.

Avant d’aborder les sujets principaux, Vincent partage que ses parents, âgés de plus de 75 ans, sont vaccinés depuis quelques semaines. Sa mère voit déjà la lumière au bout du tunnel tandis que son père n’a ressenti aucun effet secondaire.

Vincent revient sur le dossier de Clearview AI, cette entreprise d’origine canadienne ayant développé un logiciel de reconnaissance faciale. La compagnie avait constitué une vaste banque de données à partir de photos provenant des réseaux sociaux, sans le consentement des personnes concernées. La GRC avait utilisé leurs services dans quelques dossiers de personnes disparues, avec des résultats assez limités.

Une photographe professionnelle avait menacé de poursuivre l’entreprise, estimant que ses photos protégées par des droits d’auteur avaient été récupérées sans autorisation. Clearview AI a depuis établi son siège social aux États-Unis, où les lois sont plus clémentes en la matière.

Récemment, le Commissariat à l’éthique du Canada et celui de l’Alberta ont déposé une opinion concluant que les pratiques de Clearview AI sont contraires au code d’éthique. Cette décision pourrait fournir des munitions aux autorités de la justice pour entreprendre des enquêtes et porter des accusations si des personnes ont subi un dommage.

Nicolas et Vincent discutent ensuite du débat éthique entourant l’usage des photos publiques. Ils soulignent la tension entre l’utilité pour les corps policiers et l’invasion de vie privée subie par les citoyens, devenus participants involontaires à cette expérience.

Vincent s’attaque à l’argument classique de ceux qui prétendent n’avoir rien à cacher. Il rappelle que se sentir libre, c’est justement avoir le droit de posséder des secrets, un droit acquis essentiel au bien-être et à la conscience de chacun. Il existe aussi un droit à la vie publique, pour les informations que l’on préfère dévoiler.

Il rejette également l’argument selon lequel la reconnaissance faciale pourrait facilement disculper une personne innocente. Une telle disculpation reposerait sur des données obtenues sans consentement. Chacun doit demeurer maître de sa propre protection et conserver le jugement sur les gestes qui le protègent.

Les brèches de sécurité révèlent que les éléments les plus fréquemment dérobés demeurent les comptes usagers et les mots de passe. Cette réalité souligne l’importance cruciale de l’authentification multifacteur dans les vies personnelle et professionnelle, d’autant plus que les fournisseurs comme Facebook, Google et Microsoft offrent tous les outils nécessaires à cette protection.

Vincent propose une analogie avec l’automobile. La voiture représente une cage d’acier, le premier facteur de protection, et la ceinture de sécurité constitue le second facteur. Le MFA fonctionne de la même manière en ajoutant une couche de protection parmi des milliards d’usagers infonuagiques.

Nicolas précise que la ceinture ne se porte pas pour éviter une contravention, mais bien pour se protéger lors d’un accident imprévu. De même, le MFA protège contre le vol de comptes, dont les informations mènent souvent à l’argent. Vincent ajoute qu’une victime de vol à domicile qui n’aurait pas verrouillé ses portes pourrait voir sa prime d’assurance augmenter. Nicolas observe que les assureurs cyber exigent désormais des tests de sécurité avant d’assurer des systèmes, ce qui réduit les primes des compagnies ayant une bonne hygiène de sécurité.

Nicolas s’adresse aux compagnies qui n’ont pas encore fait le saut vers le nuage ou qui possèdent une maturité limitée. Il est essentiel de bien connaître son fournisseur et ses mesures de sécurité, notamment en vérifiant les audits comme les SSAE 18, les SOC 2 ou les certifications ISO.

Il rappelle le modèle de responsabilité partagée avec une analogie immobilière. Le propriétaire de l’édifice est responsable de l’extérieur, mais le locataire reste responsable de verrouiller sa porte. De même, Azure ou Amazon protègent leurs infrastructures, mais le client demeure responsable de la configuration de son propre espace.

Les points de jonction entre les systèmes sur site et les systèmes infonuagiques constituent les zones les plus fragiles et les moins bien maîtrisées. Contrairement aux systèmes sur site protégés par des coupe-feu, les systèmes infonuagiques sont exposés en permanence sur Internet, et les malveillants connaissent les adresses des grands fournisseurs, cherchant des espaces mal configurés pour remonter jusqu’aux systèmes internes.

Les maliciels récents utilisent des pages web trompeuses très bien réalisées pour amener les utilisateurs à saisir leurs mots de passe. Les gens se font ainsi convaincre de s’infecter eux-mêmes. Pour les entreprises disposant de moyens supplémentaires, un CASB, un courtier de sécurité d’accès infonuagique, ajoute une couche de protection devant les informations infonuagiques, bien que cela exige des compétences particulières. Il est recommandé de se faire accompagner par des professionnels en sécurité.

Des chercheurs ont découvert par hasard que 30 000 Mac auraient été infectés par un maliciel. Ce nombre est probablement sous-estimé, car il repose sur la télémétrie des compagnies d’antivirus. Le code a été recompilé pour fonctionner à la fois sur les processeurs Intel et M1, témoignant du professionnalisme des développeurs. La version déployée semble être une forme d’essai dont l’objectif demeure flou.

Apple a révoqué le certificat du développeur responsable, ce qui empêchera probablement le code de s’installer à l’avenir. Le maliciel contournait le gatekeeper sans lever d’alerte. La menace ne touche que macOS et non les appareils mobiles. Ce serait le comportement de l’utilisateur trompé plutôt qu’une faille du système qui aurait permis l’infection. Apple déploie déjà un antivirus intégré dans macOS et met ses signatures à jour régulièrement.

Cette découverte rappelle que même les utilisateurs de Mac ne sont pas immunisés contre les problèmes de sécurité. Des indicateurs de compromission sont disponibles dans les notes de l’épisode pour détecter une infection. Nicolas compare cette situation à SolarWinds, où des mois ont été nécessaires avant que des chercheurs ne découvrent une menace invisible.

Les animateurs annoncent leur intention de produire des épisodes plus courts et plus fréquents afin de maintenir un rythme de nouvelles plus digeste. Vincent souhaite une bonne semaine aux auditeurs en rappelant l’arrivée de la relâche.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode s’ouvre sur un article de La Presse qui s’appuie sur un sondage de la FCEI mené auprès de 3 040 responsables de PME. Marie-Ève Fortin et son coanimateur Nicolas rappellent qu’avant même la pandémie, les PME disposaient de ressources et de connaissances limitées en sécurité informatique. L’arrivée de la Covid et la généralisation du télétravail ont ajouté une couche de complexité, car les entreprises échangent désormais des informations sensibles à l’extérieur de leurs murs. Cette réalité a fait grimper l’inquiétude, alors que 56 % des PME sondées expriment des craintes concernant la sécurité de leurs informations. Environ 17 % des répondants rapportent une cyberattaque qui a échoué, soit 516 personnes ciblées, et 5 % des attaques ont fonctionné, ce qui correspond à 152 répondants. Une victime sur deux a subi des pertes financières. Les impacts vont au-delà du financier, puisque 77 % des victimes affirment avoir perdu du temps et 61 % estiment que leur bien-être émotionnel a été affecté.

Les rançongiciels constituent la vague d’attaques la plus visible. Ils touchent autant des PME que des micro-entreprises comme des dentistes, des notaires ou de petits cabinets d’avocats, qui traitent souvent leur informatique d’affaires comme celle de la maison. Marie-Ève souligne qu’une autre forme d’attaque mérite attention, soit la fraude par courriel où un malveillant se fait passer pour un fournisseur afin d’obtenir le paiement d’une facture. Nicolas explique qu’il s’agit d’attaques ciblées, nommées spear phishing en anglais, soit des courriels soigneusement conçus pour tromper les gestionnaires et les amener à transférer des fonds vers des comptes malveillants. Ces attaques visent les entreprises parce qu’elles possèdent de l’argent ou des données de valeur.

Un obstacle majeur à la prévention demeure la croyance selon laquelle les PME n’auraient rien à cacher. Nicolas rappelle que toutes les entreprises détiennent des informations sensibles, qu’il s’agisse de listes de clients ou de procédés qui assurent leur avantage concurrentiel. Les voler, c’est s’approprier le travail et le temps investis dans le développement de l’entreprise. Le vol informatique est aussi plus abstrait que le cambriolage, car l’attaquant repart avec les données sans laisser de traces. Les PME sous-estiment ce risque, un peu comme on n’installe un système d’alarme qu’après un premier vol. Marie-Ève fait un parallèle avec la santé et la sécurité au travail en reprenant une leçon de son père, qui a longtemps travaillé en usine. Selon lui, le jour où l’on cesse d’avoir peur, on devient négligent, d’où l’importance de rester conscient du risque pour s’en prémunir.

Steve Lavoie, conférencier au SECUR, provient du milieu des PME et les accompagne dans l’amélioration de leur posture de sécurité. Son approche repose sur l’utilisation de cadres normatifs gratuits et largement disponibles, ce qui évite de recourir à des consultants en sécurité devenus très coûteux compte tenu de leur rareté. Le gouvernement canadien, par l’entremise du Centre canadien pour la cybersécurité, met aussi à disposition des ressources en français et en anglais destinées aux PME et aux particuliers. Mal connues, ces ressources offrent pourtant une base solide pour guider les décisions.

Les animateurs proposent un point de départ pour les entreprises qui souhaitent agir. Il faut d’abord cibler les informations confidentielles, déterminer où elles sont stockées, par où elles transitent et qui y a accès, sans oublier celles qui, prises hors contexte, pourraient nuire à la réputation. Parmi les pratiques de base figurent la séparation des usages personnel et professionnel, l’installation d’un antivirus et la mise à jour régulière de tous les logiciels. Nicolas met en garde contre les économies réalisées sur les mises à jour, qui coûtent parfois 50 $ par poste mais qui peuvent ensuite en coûter 1 000 $ lorsque les dommages surviennent.

Marie-Ève insiste sur l’importance de sensibiliser les employés à la gestion des courriels, puisque ce vecteur demeure le principal moyen d’infection. Nicolas ajoute que les attaquants comptent sur la curiosité des victimes, qui s’infectent elles-mêmes en ouvrant des fichiers suspects. Il rappelle aussi que payer une rançon ne garantit rien, car les données ont déjà été volées et seront revendues sur le dark web, parfois à plusieurs reprises. Ces informations peuvent rester cachées trois ou quatre ans avant d’être rendues publiques, période durant laquelle elles restent accessibles à des concurrents. La meilleure défense consiste à maintenir des sauvegardes afin de pouvoir fonctionner sans céder aux demandes.

En contexte de rançongiciel, l’entreprise se retrouve en gestion de crise. Marie-Ève recommande alors de s’en remettre à des professionnels, car les décisions prises sous pression dans un domaine aussi spécialisé risquent d’être inadéquates. Nicolas compare cette situation à une urgence domestique où l’on fait appel à un pompier ou à un plombier plutôt que de s’improviser. Il nuance toutefois son propos en exprimant un malaise face aux firmes qui profitent du malheur des victimes, lui qui privilégie la prévention. C’est dans cet esprit que le podcast existe, pour éveiller les consciences et encourager des mesures préventives.

Il faut d’abord être conscient du risque, ensuite cibler les informations sensibles à protéger, puis s’informer grâce aux ressources en ligne comme celles du CCC. Le recours à des professionnels adaptés aux PME, comme la compagnie de Steve Lavoie, ou à des consultants spécialisés en situation de crise complète le tableau. Les animateurs insistent sur l’importance de miser sur la prévention, car les dommages potentiels d’un incident sont extrêmes dans le monde virtuel. Ils invitent enfin les auditeurs à poser leurs questions par courriel ou sur les médias sociaux afin d’orienter les futures discussions du podcast.

Nous avons rencontré un problème technique au courant de l’enregistrement. Nous avons préservé ce qui était écoutable.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode s’ouvre sur les habituels shameless plugs. Les animateurs rappellent l’importance des mesures sanitaires liées à la Covid-19 alors que le Québec se trouve à un tournant concernant le déconfinement, une nouvelle variante préoccupante étant apparue. Ils annoncent aussi le retour de l’événement SéCure en avril 2021, virtuel cette année, avec des conférenciers tous confirmés et les inscriptions via les show notes.

La première nouvelle abordée est SolarWinds, qui occupe les professionnels de la sécurité depuis plus d’un mois, avec des victimes comme Malwarebytes et Microsoft. Vincent en tire une leçon de gestion des risques. Il ne faut pas prendre à la lettre tout ce que disent les fournisseurs tiers avec qui on échange des données ou dont on utilise les services. Les contrats doivent contenir des clauses sur la gestion des incidents, le partage des responsabilités et des recours possibles. Les rapports SOC 2 offrent une assurance raisonnable que les contrôles fonctionnent comme prévu, et on peut négocier l’envoi d’un auditeur externe, à ses frais, pour évaluer l’environnement traitant les données.

Vincent nuance toutefois le pouvoir de négociation face aux GAFAM, blindés avec leurs armées d’avocats. Pour les autres fournisseurs, il recommande de se faire accompagner dans la rédaction des contrats, d’autant que le traitement des données de clients engage la responsabilité légale de l’entreprise.

Nicolas rappelle que l’infonuagique n’est qu’une continuité de la délégation à des tiers pratiquée depuis les années 70, avec des standards comme les SA70 d’alors et les SSAE18 aujourd’hui. Il déplore que les petits fournisseurs connaissent mal ces exigences contractuelles qui établissent le lien de confiance.

Vincent rassure les petits joueurs en les invitant à voir les clauses de sécurité exigées par les gros clients d’un œil éducatif plutôt que comme une montagne. Ces exigences rehaussent leurs processus et constituent aussi un beau produit marketing démontrant un sérieux en sécurité de l’information.

Nicolas recommande aux PME des approches allégées comme le NIST Cybersecurity Framework, qu’il utilise activement. Contrairement aux certifications lourdes comme le SOC 2 ou le SSAE 18, ce framework demande quelques jours de mise en œuvre, et il a même établi des tableaux de bord en une soirée. Vincent rappelle que le NIST est public et gratuit. Nicolas suggère aussi aux petites entreprises de partager des ressources cyber à temps partiel entre elles, car plusieurs manufacturières québécoises ont disparu à cause d’attaques malgré d’excellents produits.

Nicolas s’attaque au mythe voulant que l’infonuagique soit plus sécuritaire que les installations sur site. Si les infrastructures des gros fournisseurs comme Amazon, Google, Microsoft ou OVH sont effectivement sécuritaires, ce qu’on y met demeure de la responsabilité de chacun de configurer correctement. Le firewall de périmètre magique n’existe pas en infonuagique et les attaquants sont présents en continu sur vos données.

Vincent insiste sur le besoin de faire le même due diligence pour le cloud que pour l’interne. Avant de déplacer des données sensibles, brevets, données financières ou renseignements personnels, il faut évaluer la situation d’ensemble, incluant les obligations réglementaires, le consentement, la loi québécoise sur la protection des renseignements personnels et les programmes de rétention. Le cloud first ne signifie pas jeter ses données n’importe où, et parfois garder l’information en local coûte plus cher mais agit comme une bonne couverture d’assurance.

Nicolas ajoute l’importance de cartographier ses systèmes et services pour comprendre comment l’information se déplace à travers les intermédiaires, plutôt que de se fier au feeling entretenu avec le fournisseur.

Bonne nouvelle du côté d’Emotet, ce maliciel qui fut la porte d’entrée de 60 % des cybercrimes dans le monde. Une coalition de huit pays, dont le Canada avec la GRC, aurait piraté les pirates et pulvérisé l’infrastructure, avec deux arrestations en Europe de l’Est. Nicolas, qui a géré plusieurs incidents impliquant Emotet, rappelle que son code changeait aux 24 heures et célèbre l’effort tout en demeurant prudent. Il prédit qu’Emotet renaîtra de ses cendres et regrette l’absence de leviers légaux pour une destruction définitive, notant que le vrai danger résidait dans Trickbot et Ryuk. Les deux animateurs se réjouissent que le Canada possède les compétences pour défendre ses infrastructures critiques.

Le FBI a mis la main sur un résident de Gatineau qui aurait soutiré 35 millions de dollars canadiens avec le maliciel NetWalker. Sa maison était d’une banalité déconcertante pour quelqu’un ayant volé des millions, et on y a trouvé énormément de drogue et d’argent liquide, ce qui ne surprend pas Nicolas, les criminels restant dans leurs environnements habituels même devenus cybercriminels.

Nicolas aborde ensuite le Zero Trust, qu’il préfère qualifier de limited trust. Le vocable importe peu, l’essentiel est de changer la façon de designer nos réseaux et d’établir la confiance, car l’humain fait confiance de façon aveugle, ce que les attaquants exploitent. Vincent résume le concept avec humour en disant que si tu t’es trompé, dehors.

Nicolas explique qu’au lieu d’un continent protégé par un firewall de périmètre, chaque système devient sa propre île vérifiant l’identité à chaque accès. Il offre l’analogie du bouncer qui vérifie les cartes d’identité à l’entrée du bar. Dans le modèle classique, une fois entré, on fait ce qu’on veut. En Zero Trust, chaque bar du club redemande votre identité avant de vous servir.

La GIA demeure un fondement du Zero Trust, car l’identité est le premier point de contrôle, vérifié en amont par des campagnes de certification assurant que les fiches et privilèges sont exacts. Nicolas recommande les documents NIST 800-63 sur l’identité, l’authentification et la fédération. Vincent note que ce modèle alourdit l’opérationnalisation de la gouvernance, mais assure un bien meilleur contrôle des accès. Dans le monde informatique, ces vérifications répétées restent généralement transparentes pour l’utilisateur, contrairement au monde réel où il serait pénible de prouver son âge à chaque bière commandée.

Nous avons rencontré un problème technique au courant de l’enregistrement. Nous avons préservé ce qui était écoutable.

Nous avons rencontré un problème technique au courant de l’enregistrement. Nous avons préservé ce qui était écoutable.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Dans cet épisode de Polysécure, Marie-Ève Fortin questionne l’animateur, expert en sécurité de l’information, sur les enjeux entourant la période des déclarations de revenus. Cette saison s’accompagne d’une vague de sollicitations frauduleuses et de plusieurs questionnements. La discussion porte sur les informations à protéger, les tactiques des malveillants ainsi que les bonnes pratiques à adopter pour transmettre ses documents et choisir ses outils.

Le numéro d’assurance sociale arrive en tête des données à protéger, puisqu’il s’agit d’une sorte de clé universelle au Canada, utilisée autant auprès des institutions bancaires que du gouvernement. Les informations contenues dans le rapport d’impôt sont elles aussi très sensibles, car elles servent de secret partagé entre le contribuable et l’agence du revenu. Lors d’une communication, l’administration fiscale peut d’ailleurs demander la valeur d’une ligne précise d’une déclaration antérieure afin de confirmer l’identité de l’interlocuteur. L’expert rappelle qu’un rapport d’impôt rempli est classifié « protégé B » selon les standards gouvernementaux, ce qui témoigne de la sensibilité de ces données. Chaque citoyen demeure responsable de protéger sa part de cette relation d’affaires.

Durant la saison des impôts, de nombreux appels frauduleux sont recensés. Les fraudeurs se font passer pour des agents du gouvernement et brandissent la menace d’une saisie imminente. Ils exploitent l’urgence et la peur pour pousser les gens à réagir rapidement et à divulguer des renseignements personnels. L’objectif est toujours de soutirer de l’argent, en obtenant par exemple le numéro d’assurance sociale pour usurper une identité, ouvrir une carte de crédit ou un compte bancaire au nom de la victime. Même des personnes informées et alertes se sont déjà fait avoir, car ces appels peuvent être convaincants et leur ton menaçant déstabilisant. Les fraudeurs excellent à faire vibrer la corde du doute en laissant croire qu’on a peut-être réellement fauté.

L’expert souligne que l’agence du revenu adopte une approche fort différente de celle des fraudeurs. Les véritables agents sont plus humains, moins pressants et privilégient la négociation plutôt que la menace. Une saisie réelle n’est jamais annoncée par téléphone, mais plutôt exécutée par un huissier qui se présente physiquement à la résidence. Si un dossier relevait d’une enquête criminelle, un enquêteur du revenu ou un agent de la GRC interviendrait, encore là en personne. Le gouvernement souhaite avant tout percevoir l’argent qui lui est dû et fait preuve de patience, en multipliant les occasions de payer avant d’escalader. Des lettres arrivent normalement bien avant toute mesure coercitive, et les impôts dus ne s’évaporent pas, contrairement à une vente sous pression où le produit disparaîtrait bientôt. Ne pas répondre aux numéros inconnus reste une défense simple et efficace. Enfin, si une fraude survient malgré tout, il ne faut pas avoir honte et il importe de porter plainte à la police afin que ces actes soient punis.

Le constat est sans appel, un courriel n’est pas un moyen de communication sécurisé. L’agence du revenu du Québec utilise une plateforme où le courriel sert uniquement d’avis, indiquant qu’une communication attend le contribuable dans son portail sécurisé. Le contenu sensible n’est jamais inclus dans le message lui-même. Dès qu’un courriel contient du contenu fiscal, il y a un problème. Pour la transmission de la déclaration, la plateforme TED, utilisée par les comptables et prise en charge par plusieurs logiciels, offre des communications intrinsèquement protégées. Aucun envoi de renseignements fiscaux ne devrait donc transiter par courriel.

L’agence du revenu, tant provinciale que fédérale, investit énormément pour protéger ses infrastructures et les informations qu’elle détient. Il revient toutefois au citoyen d’assurer l’équivalent de son côté. Un ordinateur domestique mal protégé ou un mot de passe trop faible peuvent compromettre les données fiscales, et la faute repose alors sur la personne et non sur l’institution. La combinaison de l’adresse et du numéro d’assurance sociale suffit d’ailleurs au Canada pour usurper une identité. L’expert recommande d’investir dans un mot de passe robuste pour les plateformes gouvernementales, d’autant plus qu’on s’y connecte rarement et que la tentation de le simplifier est grande. Le choix d’un mot de passe demeure une responsabilité personnelle, au même titre que pour les sites commerciaux comme Amazon ou PayPal, même si les agences n’hésitent pas à bloquer des comptes en cas de soupçon d’activité malveillante.

Faire appel à un comptable ne garantit pas automatiquement une meilleure sécurité, puisque tout le monde utilise un logiciel et que la protection dépend des mesures déployées sur ses systèmes. Une personne qui prépare des déclarations de façon informelle, avec une infrastructure domestique moins élaborée, présente plus de risques qu’un cabinet structuré. Il est donc pertinent d’aborder la sécurité avec son comptable, d’autant plus que les rançongiciels peuvent frapper ses systèmes et provoquer des fuites. Pour les plateformes en ligne comme celle de HR Block, ces entreprises réputées déploient vraisemblablement des mesures adéquates, mais elles stockent les informations sur leurs serveurs, ce qui constitue une délégation de confiance vers un tiers. L’expert précise que la transmission est sécurisée autant avec un logiciel installé qu’avec une plateforme web, la différence se situant au niveau du stockage. Paradoxalement, pour une personne peu familière avec la sécurité, un service en ligne peut s’avérer aussi sécuritaire, voire plus, qu’un ordinateur personnel mal protégé. Un spécialiste pourra préférer conserver ses données chez lui, en reconnaissant toutefois qu’aucune protection n’est garantie à cent pour cent, les experts étant souvent moins rigoureux à la maison qu’au travail.

L’épisode se conclut sur une invitation à envoyer questions et idées de sujets pour les prochains épisodes, les cas particuliers pouvant être traités à partir des demandes des auditeurs.

Rien à signaler… Sauf mon (NLF) ventillateur qu’on entend trop bien.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode s’ouvre sur un rappel des mesures sanitaires toujours en vigueur au Québec, alors que le reconfinement se poursuit. Se laver les mains et respecter la distanciation permettent de faire baisser la courbe et de préserver les places à l’hôpital pour ceux qui en ont vraiment besoin. L’émission annonce aussi la reprise du SÉCUR 2021 le 15 avril, formule reprenant l’édition 2020 annulée à cause de la pandémie, avec une invitation à s’inscrire en grand nombre.

Vincent présente les développements de l’affaire SolarWinds. En décembre, un compte d’un membre du personnel de Microsoft a servi à des tentatives d’accès au code source, sans élévation de privilèges puisque les droits usurpés permettaient seulement de consulter, et rien n’a pu être extrait. Aucune donnée client n’a été touchée et l’enquête suggère un dommage collatéral lié à la compromission de SolarWinds.

Plus les investigations avancent, plus il semble que les malveillants étaient en place depuis longtemps. Même une entreprise investissant des milliards en sécurité annuellement est affectée, un signal fort sur la vulnérabilité des organisations plus modestes. Le CISA a révisé ses recommandations et demande aux organismes gouvernementaux américains de passer en mode forensic, soit une analyse approfondie des possibilités de fuite, car des preuves scellées et des courriels d’agences ont été divulgués. Un troisième kit d’attaque a aussi été découvert, Cisco ayant trouvé d’autres éléments. Interrogé par Vincent sur l’analyse de risque préalable aux enquêtes forensiques, l’animateur précise qu’il s’agit plutôt d’une analyse de l’événement, exigeant créativité et appui de la ligne de gestion.

Un article de journal a révélé qu’une exfiltration de 15 fichiers aurait eu lieu et que ces fichiers se sont retrouvés sur le web obscur. Cela fait deux mois jour pour jour que les services en ligne sont inaccessibles, seules des lignes téléphoniques demeurent disponibles, ce qui fait mal aux états financiers et génère des dépenses imprévues.

L’animateur comprend l’immensité du travail des équipes de cybersécurité, espère que personne ne s’épuisera, et critique le manque de communication externe, les clients gagnant à connaître l’avancement du rétablissement. Il souhaite que l’entreprise tire des leçons, investisse aux bons endroits et partage publiquement son expérience afin que les organisations moins outillées en profitent. Vincent exprime son empathie, rappelant que la région de Québec compte plusieurs assureurs qui sont de bons employeurs, et que perdre une telle compagnie serait dommageable. L’animateur ajoute que les données des Québécois ont tellement fui qu’il faut changer d’attitude à l’échelle de la société, et que le législateur devrait ajuster les lois, le RGPD restant aussi un outil de chantage.

Durant le temps des fêtes, Communauto a été victime d’un rançongiciel ayant chiffré certaines données et causé une perte d’accès totale à certains serveurs. Aucune donnée de carte de crédit ni de paiement n’est concernée et la facturation a subi des retards sans être empêchée. Des données sensibles ont été exfiltrées, notamment des informations de trajet jugées confidentielles, mais aucune donnée client compromettante une fois agrégée ni aucun mot de passe n’auraient fui. Une firme a été embauchée pour accompagner l’entreprise.

L’animateur estime que ces entreprises à valeur sociale sont mal servies en cybersécurité et suggère du bénévolat pour les aider. Vincent s’interroge sur le mobile, Communauto ne semblant pas une cible évidente, peut-être une cible d’opportunité lors d’une vague d’attaques en décembre. L’animateur évoque des attaques mécanisées de type Emotet, où les malveillants drainent l’information, chiffrent tout et repartent, avant de revendre les données aux plus offrants. Il conclut qu’il faut cesser de pointer du doigt les entreprises et plutôt leur offrir des règles de bonnes pratiques minimales pour cheminer en cybersécurité.

Selon des documents du CISA, le principal facteur menant à une brèche demeure une hygiène de sécurité insatisfaisante, ici au niveau du cloud. La pandémie a provoqué une migration massive et non organisée vers l’infonuagique, souvent sans analyse des conséquences de sécurité. Si les fournisseurs comme Microsoft, Google ou Amazon sont solides, la configuration des services consommés demeure la responsabilité du client. L’authentification à double facteur reste la mesure la plus rentable pour limiter les attaques, trop souvent contournée ou oubliée.

Vincent rappelle que plusieurs fuites provenaient de mauvaises configurations, souvent par manque de compétences, et conseille de vérifier le partage des responsabilités dans le contrat ainsi que les compétences internes. Maîtriser un fournisseur demande déjà du temps et de l’expertise, et en ajouter un deuxième accroît la dispersion des risques. La compétence en sécurité doit être présente, car il n’y a pas de raccourci. Vincent insiste sur la due diligence, soit l’adéquation entre obligations légales, politiques internes et services infonuagiques, et suggère de réunir tous les acteurs de l’entreprise autour d’une analyse de risque.

Chez Apple, suivant les travaux de plusieurs chercheurs, des exclusions ont été retirées de l’interface réseau de la nouvelle version de macOS. Les services Apple n’étaient plus soumis aux contrôles de sécurité de cette interface, ce qui permettait de contourner les protections. L’animateur recommande les outils d’Objective See pour sécuriser les Mac, ainsi que Little Snitch, un pare-feu applicatif utile contre l’exfiltration de données.

Enfin, Flash est officiellement désuet depuis le 1er janvier et plusieurs grands navigateurs cesseront de le supporter le 12 janvier. Ce caillou dans le soulier de la sécurité cumulait une panoplie de problèmes phénoménale, et le HTML5 rend désormais cette extension inutile. L’animateur rappelle que Steve Jobs avait publiquement enterré Flash il y a plusieurs années, provoquant un tollé, mais l’histoire lui a donné raison.