– Article invité, rédigé par Vincent Lautier –

Le CNRS vient de confirmer un incident de cybersécurité qui a mené au téléchargement non autorisé de fichiers contenant des données personnelles d'anciens agents. Noms, adresses, numéros de sécurité sociale, RIB : la totale donc. L'organisme a déposé plainte et prévenu la CNIL.

Des données très sensibles

C'est ce lundi 16 février que le CNRS a informé ses agents d'une fuite de données sur un de ses serveurs. Des fichiers contenant des informations de ressources humaines ont été téléchargés sans autorisation. Et on ne parle pas de données anodines : noms, prénoms, dates de naissance, adresses postales, numéros de sécurité sociale et RIB. Le tout accompagné du statut de l'agent, du type de contrat et de la structure d'affectation. Le serveur a été isolé et arrêté dès la découverte de l'incident, et l'organisme assure que la fuite ne s'est pas propagée au reste de ses infrastructures.

Qui est concerné ?

Seuls les personnels recrutés avant le 1er janvier 2007 sont touchés, qu'ils aient été titulaires ou non. Si vous avez travaillé au CNRS après cette date, vous n'êtes pas concerné. Le nombre exact de victimes n'a pas été communiqué, mais vu la taille de l'organisme, on parle potentiellement de plusieurs milliers de personnes. Le CNRS recommande de prévenir sa banque, de surveiller ses comptes, de vérifier si ses données circulent sur haveibeenpwned.com, et de rester vigilant face aux tentatives de phishing ou d'usurpation d'identité. La CNIL et l'ANSSI ont été prévenues, et une plainte a été déposée auprès de la section cybercriminalité du parquet de Paris.

Les institutions françaises en ligne de mire

On n'est pas vraiment sur une première niveau cyberattaques sur des services de l'état. Le ministère de l'Intérieur, celui des Sports, et d'autres organismes avaient été visés. L'URSSAF a aussi confirmé une fuite touchant les données de 12 millions de salariés. Le CNRS lui-même avait été la cible d'un défacement de plusieurs de ses sous-domaines fin janvier. Deux incidents distincts, mais la tendance est claire, et c'est franchement moche.

On va quand même saluer le fait que le CNRS a communiqué rapidement, avec un communiqué officiel et une FAQ pour les personnes concernées. C'est loin d'être toujours le cas. Mais on va quand même se questionner sur le fait que des RIB et des numéros de sécu trainent sur un serveur, alors qu'on parle de données parfois veilles depuis presque 20 ans... Pourquoi ces informations étaient-elles encore accessibles ? La question du stockage prolongé de données sensibles revient sur la table, et visiblement, personne n'a encore de bonne réponse. En attendant, si vous avez porté la blouse du CNRS avant 2007, un petit tour sur votre relevé bancaire ne serait pas du luxe.

Article invité publié par Vincent Lautier . Vous pouvez aussi faire un saut sur mon blog , ma page de recommandations Amazon , ou lire tous les tests que je publie dans la catégorie "Gadgets Tech" , comme cette liseuse Android de dingue ou ces AirTags pour Android !

Les cyclistes ont bien le droit de rouler à deux côtes-à-côtes sur la route, mais uniquement lorsqu’il n’y a pas de véhicule derrière eux proche de les doubler. Et ils n’ont techniquement pas le droit de rouler de cette façon la nuit.

WinCalls bloque les appels indésirables et usurpation en local, avec règles ARCEP, NPV, masqués, étranger....

Les infrastructures critiques, électricité, eau, transports, communications, constituent le socle invisible de notre quotidien. Lorsqu’elles s’interrompent brutalement, les conséquences se font sentir immédiatement. L’intelligence artificielle (IA) occupe aujourd’hui une place centrale dans ces systèmes, elle améliore leur efficacité, renforce leurs capacités de prédiction et optimise les opérations. Mais cette intégration ouvre également la voie à […]

L’article L’IA dans les infrastructures critiques, à la fois opportunité majeure et risque majeur… <br/><em>Benoit Grunemwald, ESET</em> est apparu en premier sur InformatiqueNews.fr.

L’IA générative est désormais présente dans notre quotidien professionnel et personnel. Ces assistants répondent instantanément à nos questions, rédigent des textes, résument des documents, et font gagner un temps considérable. Mais ils sont aussi victimes “d’hallucinations” et peuvent présenter des failles de sécurité mettant à mal des informations confidentielles.

Comment profiter de ces outils tout en sécurisant leur usage ? Voici quelques risques et solutions possibles.

Les menaces cyber liées aux LLM

Prompt injection: manipulation des instructions pour contourner les règles et accéder à des informations sensibles. Un utilisateur malveillant peut formuler une question ou une instruction de manière à contourner les garde-fous intégrés au modèle et obtenir des informations confidentielles. Par exemple, un employé ou un tiers pourrait, par un enchaînement de phrases trompeuses, inciter l’assistant à divulguer des données internes sensibles ou des secrets commerciaux. Le plus souvent, cette manipulation ne nécessite pas d’accès direct aux systèmes critiques, rendant le risque particulièrement préoccupant.

Fuite de données: divulgation involontaire d’informations confidentielles ou stratégiques. Lorsqu’un assistant génère des réponses à partir de documents internes ou de bases de connaissances, il existe un risque que des informations confidentielles soient reformulées et partagées accidentellement avec des utilisateurs non autorisés. Cette vulnérabilité devient critique dans des secteurs régulés comme la finance, la santé ou la défense, où la moindre divulgation peut avoir des conséquences financières et légales lourdes.

Abus des API et systèmes connectés: détournement des capacités d’action du LLM sur des systèmes internes. Les assistants IA ne se contentent pas de répondre à des questions : ils peuvent interagir avec des systèmes via des API ou automatiser certaines tâches. Si ces accès ne sont pas correctement sécurisés, un acteur malveillant pourrait exploiter le modèle pour exécuter des actions non autorisées, comme modifier des configurations, supprimer des données ou déclencher des processus sensibles.

Hallucinations exploitables: diffusion de fausses informations pouvant induire en erreur les utilisateurs ou servir de vecteur de phishing. Les modèles de langage peuvent « halluciner », c’est-à-dire générer des informations fausses mais plausibles. Si celles-ci ne sont pas identifiées, elles peuvent induire en erreur les employés, fausser des décisions stratégiques ou servir de base à des attaques de phishing sophistiquées. Un e-mail généré automatiquement et contenant de fausses instructions financières pourrait convaincre un employé de transférer des fonds à un tiers frauduleux.

Empoisonnement des données: altération des modèles via des données malveillantes pour biaiser leurs réponses. En alimentant le modèle avec des informations malveillantes ou biaisées, un acteur externe peut altérer ses réponses et influencer ses comportements. À terme, cela peut conduire à une dégradation de la qualité des décisions, à des recommandations erronées ou à des vulnérabilités exploitées pour nuire à l’entreprise.

Comment sécuriser l’usage de l’IA générative

Isolation et contrôle des privilèges: restreindre strictement l’accès aux systèmes et données critiques. Les assistants IA doivent être isolés des systèmes sensibles et n’obtenir que les accès strictement nécessaires à leurs fonctions. Limiter leur portée réduit le risque d’abus et rend beaucoup plus difficile l’exploitation de failles pour accéder à des informations stratégiques.

Filtrage et validation des entrées et sorties: détecter et bloquer les instructions malveillantes et les réponses dangereuses. Pour prévenir les injections de prompt et les fuites accidentelles, il est essentiel de filtrer les requêtes adressées à l’IA et de vérifier la pertinence des réponses avant leur diffusion. Des mécanismes automatiques de contrôle et de validation, combinés à des règles métier, permettent de réduire les risques d’exécution d’instructions malveillantes.

Supervision humaine et garde-fous métier: validation des actions critiques et règles explicites sur l’usage autorisé. Une supervision humaine des actions critiques de l’IA et la définition de politiques d’usage explicites garantissent que l’IA reste un outil d’aide et non un acteur autonome pouvant générer des pertes ou des incidents. La combinaison de l’intelligence humaine et artificielle est un garde-fou essentiel.

Journalisation et monitoring: suivi des interactions pour identifier rapidement des usages anormaux ou des tentatives d’attaque. La traçabilité est cruciale. En enregistrant et en surveillant toutes les interactions avec l’IA, les entreprises détectent rapidement des comportements suspects, analysent des tentatives de fraude et réagissent avant que les incidents ne deviennent critiques. Le monitoring en temps réel permet également d’identifier des tendances d’usage qui pourraient indiquer des vulnérabilités.

Tests de sécurité dédiés: audits et simulations pour détecter les vulnérabilités avant qu’elles ne soient exploitées. Les simulations d’attaques et les évaluations de risques permettent d’identifier des failles avant que des acteurs malveillants ne les exploitent, garantissant que le déploiement de l’IA reste un levier de productivité plutôt qu’une source de pertes financières.

*Adrien Gendre est CPO chez Hornetsecurity

 

 

The post { Tribune Expert } – L’IA au travail : détecter les menaces, sécuriser les usages appeared first on Silicon.fr.

Comme Discord se merdifie et considère par défaut ses utilisateurs comme mineurs (sauf preuve du contraire), on pouvait légitimement craindre la prolifération des scans de cartes d'identité et faciaux. (Que Discord a déjà laissé fuiter ! https://sebsauvage.net/links/?E5TYdQ)

Discord se défend en avançant "oui mais ne le demandera pas toujours. On a des IA qui évaluent s'il faut la demander".
IA qui se trouve être liées à l'immonde Palantir.
Donc Discord va filer vos données à Palantir pour ne pas avoir à demander une copie de votre carte d'identité. La peste ou le choléra.
(Permalink)

Les objets connectés, ces passoires absolues en termes de sécurité.
(Permalink)

Peugeot invite certains propriétaires de SUV 3008 et 5008 à passer dans les ateliers. En cause, des écrous de roue pas suffisamment serrés qui pourraient conduire à la perte des roues. Heureusement, les exemplaires concernés sont très peu nombreux.

L’intelligence artificielle est désormais partout sur Windows, y compris sur le vénérable Bloc-notes. Et pourtant, ces modifications seraient plus dangereuses qu’elles n’y paraissent pour les utilisateurs. Suite au succès mondial…

Cet article Microsoft aurait ajouté une énorme faille de sécurité au Bloc-notes en y injectant l’IA est apparu en premier sur PaperGeek.

Le Google Threat Intelligence Group (GTIG) vient de publier son dernier rapport « AI Threat Tracker », détaillant les dernières tactiques des acteurs ciblant les plateformes d’IA et les mesures mises en œuvre par Google pour les atténuer. Tribune – En amont de la Conférence de Munich sur la sécurité, le rapport qui s’appuie sur l’analyse de […]

The post Rapport de sécurité de Google (GTIG) – Les abus de l’IA par des acteurs malveillants first appeared on UnderNews.

— Permalink

Vous avez un serveur, un NAS, quelques services qui tournent chez vous ou au boulot, et vous vous demandez si tout ça est bien sécurisé ? Alors plutôt que d'attendre qu'un petit malin vous le fasse savoir de manière désagréable, autant prendre les devants avec un scanner de vulnérabilités.

Attention : si vous scannez le réseau de votre boulot, demandez toujours une autorisation écrite avant car scanner sans permission, c'est illégal et ça peut vous coûter cher. Et ne comptez pas sur moi pour vous apporter des oranges en prison.

OpenVAS (Open Vulnerability Assessment Scanner), c'est l'un des scanners open source les plus connus, maintenu par Greenbone. Une fois en place sur votre réseau, il scanne vos services exposés et vous balance un rapport avec ce qui craint : Ports ouverts, services mal configurés, failles connues, certificats expirés... De quoi repérer une bonne partie de ce qu'un attaquant pourrait exploiter.

L'interface principale d'OpenVAS

Ce qui est cool, c'est que vous restez en mode défensif. C'est pas un outil de pentest offensif ou de hacking pur et dur mais juste un audit de votre propre infra pour savoir où vous en êtes. Et ça tourne avec un feed de vulnérabilités (le Greenbone Community Feed) qui est régulièrement mis à jour, ce qui permet de détecter les failles récentes.

Pour l'installer, une des méthodes c'est de passer par Docker. Greenbone fournit une stack complète avec docker-compose. Après vous cherchez plutôt à analyser spécifiquement vos images de conteneurs, Grype pourrait aussi vous intéresser .

Pour OpenVAS, vous créez un répertoire, vous téléchargez leur fichier de config (jetez toujours un œil dedans avant de l'exécuter, c'est une bonne pratique), et hop :

— Permalink

— Permalink

Chine : projet de loi cyber avec interdiction de sortie pour les pirates, ciblage des facilitateurs, et portée extraterritoriale contre la fraude transfrontalière....

Fuite PSNI 2023 : indemnisation 7 500 £ par agent, procès possibles, et leçons cyber sur l’exposition des données.

Flickr signale une possible fuite via un prestataire e-mail et alerte sur le phishing, sans mots de passe ni données financières exposés.

92829 V 2.0 : 16 titres signés ZATAZ sur la cyberfraude, le gaming et la prévention numérique....

La CISA ordonne aux agences fédérales de retirer sous 12 mois tout appareil en fin de vie, cible privilégiée des cybercampagnes persistantes.