ENTREPRENEURS

Une cyberattaque en masse sur plus de 100 000 iPhones que nous venons de signaler. Voici comment vous protéger.

Un piratage incroyablement malveillant a potentiellement exposé des centaines de milliers de victimes de l'iPhone.

Des chercheurs de Google ont récemment découvert qu'un pirate informatique inconnu utilisait 14 failles de sécurité distinctes, notamment des vulnérabilités «jour-zéro» dévastatrices, dans iOS pour attaquer les utilisateurs d'iPhone. Mais ce n'est pas votre cyberattaque typique. La cybermenace implique des logiciels malveillants qui peuvent surveiller tous les aspects du téléphone et même en prendre le contrôle. C’est une révélation, car on a longtemps pensé que les iPhones étaient relativement sûrs pour les pirates. Plus maintenant. Voici ce que cela signifie et pourquoi cela change en grande partie ce que nous savons sur les cybermenaces.

J'enseigne un cours sur le cyber-leadership à l'Université de Boston. L'un des messages clés du cours est que tout appareil ou système informatique est piratable. Cependant, je signale également que bien que tout puisse être piraté, il en résulte généralement des coûts. Cela signifie qu'il est plus probable que certaines personnes ou organisations soient piratées par d'autres. Pourquoi? Eh bien, car les pirates informatiques s’attaqueront aux cibles les plus faciles et les plus utiles, avec les meilleurs retours. C'est un peu comme un voleur de voiture qui est plus susceptible de voler une voiture onéreuse avec les portes déverrouillées et les clés qui y sont placées qu'une voiture inspirée qui est verrouillée et qui a une alarme.

"Visiter simplement le site piraté était suffisant pour que le serveur d'exploitation attaque votre appareil et, le cas échéant, installez un implant de surveillance." - Google Researcher

C'est particulièrement vrai des vulnérabilités du jour zéro, qui sont des failles critiques dans un programme ou un système d'exploitation pouvant entraîner des vulnérabilités dévastatrices. Le problème des vulnérabilités «jour zéro» est qu’elles sont relativement rares. Ce sont les joyaux du piratage informatique. Ainsi, lorsqu'ils sont découverts par des pirates informatiques, ils sont vendus et achetés sur une toile sombre pour cinq, six, voire sept chiffres. Si un pirate informatique doit dépenser autant pour exploiter une vulnérabilité, il voudra un retour sur investissement.

Donc, si vous prenez des précautions de base et que vous n'êtes pas un État-nation ou une grande entreprise, il y a de fortes chances que vous soyez à l'abri des attaques les plus malveillantes. Il est clair qu'il existe des exceptions à cette règle pour les attaques de ransomware qui sont beaucoup moins discriminantes, ou le vol d'identité. Cependant, la plupart de ces piratages sont assez faciles à identifier et à prévenir. Les vulnérabilités zéro jour sont beaucoup plus difficiles, dans la mesure du possible, à empêcher ou à détecter par l'utilisateur type. Ils peuvent s'emparer d'un appareil, accéder à des informations, surveiller les communications et même le commander et en prendre le contrôle. J'ai vu cela de près dans les cyber-exercices que j'ai menés pour mes cours. Dans un cas, tout en montrant à ma classe comment utiliser le navigateur TOR pour accéder au Web sombre, un pirate informatique a co-ordonné mon ordinateur portable Apple et a effacé tout mon disque, mon système d'exploitation et tout, en moins de 15 secondes. (J'utilise un ordinateur portable avec graveur sans informations ou données personnelles pour ces exercices.)

Cependant, les iPhones sont considérés comme l’un des dispositifs les plus sûrs en matière de cyber-vulnérabilités. Cela signifiait que les chances étaient plutôt bonnes que vous soyez en sécurité sur votre iPhone tant qu'un État-nation ne vous recherchait pas. (La société israélienne de sécurité informatique Cellebrite a montré qu’elle pouvait pirater n’importe quel téléphone sans y accéder et sans que l’utilisateur le sache ou sans son autorisation. Cellebrite fournit son logiciel uniquement aux agences de maintien de l’ordre, bien que certains le prétendent, mais jamais coroborée, que le logiciel était disponible à un moment donné dans la nature.)

Eh bien, ces calculs semblent avoir changé la façon dont nous calculons les cotes de manière spectaculaire.

Les chercheurs de Google ont découvert que les vulnérabilités «jour zéro» sur l'iPhone pourraient facilement permettre un accès pratiquement illimité à tout ce qui se trouve sur l'appareil, de la messagerie et des e-mails aux données de contact, en passant par l'accès aux applications et même le contrôle du téléphone.

Ce qui est particulièrement insidieux à propos de ce hack, c'est qu'il ne cible personne en particulier, mais quasiment tous ceux qui possèdent un iPhone. Tout ce qu'un utilisateur d'iPhone doit faire pour être exposé à l'explout est de visiter un site Web en particulier (Google n'a pas révélé lesquels pour des raisons évidentes). Sans aucune autre action de la part de l'utilisateur, les logiciels malveillants pourraient infiltrer instantanément leur iPhone et prendre le relais pour faire son sale boulot.

Ian Beer, l'un des chercheurs de Google, a déclaré: "Il suffisait de visiter le site piraté pour que le serveur d'exploitation puisse attaquer votre appareil et, le cas échéant, installer un implant de surveillance. Nous estimons que ces sites reçoivent des milliers de visiteurs par semaine. . " Cela signifie qu’au cours des deux dernières années, des centaines de milliers d’appareils pourraient avoir été infectés.

Arrêtez-vous et réfléchissez au nombre de fois où vous avez cliqué sur un lien sans prétention dans un courrier électronique simplement pour vous rendre compte que ce n'était pas du tout intéressant et que vous avez ensuite navigué.

Que faire

Alors que peux-tu faire? Eh bien, si vous avez déjà eu la malchance de visiter l'un de ces sites Web (que seuls Google et Apple connaissent par leur nom) au cours des deux dernières années, votre téléphone aurait déjà pu être compromis. Bien sûr, le fait est que vous ne sauriez pas nécessairement si vous avez été compromis. Apple a corrigé les vulnérabilités du jour zéro quelques jours après avoir reçu une notification de Google. Si vous mettez à jour votre iOS lorsque cela est suggéré par Apple, vous êtes au moins en sécurité à partir de ce moment. Si vous n'avez pas mis à jour votre iOS, faites-le maintenant!

Une fois cela fait, une hygiène numérique de base vous aidera à rester en sécurité. Étant donné que la plupart des hacks impliquent de cliquer sur un lien, voici la procédure de base à suivre pour vous protéger de la plupart des cyberrisques.

  1. Ne cliquez sur aucun lien de site Web que vous ne reconnaissez pas. C'est simple, si vous ne reconnaissez pas l'URL, ne cliquez pas dessus. Oui, je sais, comme c'est évident. Vous seriez surpris de voir combien de fois cela se produit.
  2. Si l'URL ne commence pas par HTTPS: //, soyez particulièrement compréhensif. Ignorez-le sauf si vous êtes sûr de l'expéditeur et si vous avez suivi les étapes ci-dessous.
  3. Scrutinize l'URL. Souvent, vous voyez un nom familier dans l'URL et vous laissez croire qu'il est légitime. Par exemple, americanexpress.mysupport.de n'est pas une URL d'American Express.
  4. Contrôlez l'expéditeur. Il est facile d'usurper une adresse email FROM. Si vous n'êtes pas sûr, envoyez un e-mail séparé à l'expéditeur et demandez-lui si l'e-mail est légitime. L'une des formes les plus courantes d'e-mails de phishing incitant les internautes à cliquer sur un lien utilise cette tactique, car les défenses des personnes s'érodent lorsqu'elles reconnaissent l'expéditeur d'un e-mail d'un ami ou d'un collègue de Clsoe.
  5. Ne faites pas confiance au lien URL que vous voyez dans votre email. Survolez ou affichez la source du message pour voir quelle est l'URL réelle sur laquelle vous cliquez.
  6. Si vous ne pouvez pas contenir votre curiosité et que vous souhaitez désespérément cliquer sur un lien, conservez un ordinateur portable disponible (ce que j’appelais plus tôt un "ordinateur portable graveur") qui n’est pas connecté à un réseau local sans fil avec d’autres périphériques susceptibles d’être compromis et qui ont également pas d'informations personnellement identifiables ou de données sénistives à ce sujet.
  7. Apprenez à toutes vos étapes à l’enfant avec votre enfant / conjoint / partenaire / employé ou toute personne de votre ménage ou de votre entreprise avec un appareil compatible Web. L'une des vulnérabilités les plus souvent exploitées par la plupart des périphériques et des organisations est un utilisateur peu instruit.
  8. Sauvegardez régulièrement. Votre meilleure solution de sécurité est d’avoir régulièrement des sauvegardes sur le cloud automatisées de vos fichiers. Cela ne signifie pas sauvegarder une fois par an ou une fois par mois, mais tous les jours. Il existe de nombreuses options peu coûteuses et automatisées basées sur le cloud pour ce faire. Si vous ne faites rien d’autre à la suite de la lecture de cet article, faites au moins cela.
  9. Plus important encore, mettez à jour votre système d'exploitation chaque fois que vous recevez une notification de votre fournisseur d'appareil ou de logiciel. La plus grande source de cyberrisque pour chaque personne ou organisation résulte de correctifs ou de mises à jour ignorés.

À propos, si vous pensez être à l'abri des cyberattaques, détrompez-vous. Le cyberrisque est réel et il augmente. Comme pour toute autre menace, vous devez adapter votre comportement pour vous reconnaître et vous protéger, ainsi que votre famille et votre entreprise.

Les opinions exprimées ici par les chroniqueurs d’Inc.com sont les leurs, pas celles d’Inc.com.

Tags

Leave a Reply

Your email address will not be published. Required fields are marked *

Close
Close