Les mots de passe en clair de Facebook et 13 ans de données perdues par MySpace #veille (24 mars 2019)

Facebook passe à nouveau cette semaine pour le mauvais élève en matière de protection des données. On apprend ainsi que des des centaines de millions de mots de passe (entre 200 et 600 mios) étaient stockés en clair sur leur serveurs et accessibles à 20’000 employés. Facebook minimise bien sûr … et moi qui pensait que ces pratiques n’existaient plus depuis longtemps et en particulier pour des tels gros acteurs du web 🙁

Pas mieux pour MySpace qui a oublié que les bonnes pratiques de base prévoient que l’on effectue un backup avant une migration. Résultat: 50 millions de chansons effacées et perdues à tout jamais 🙁

On remarquera principalement 2 cyber-attaques cette semaine. La première concerne Norsk Hydro,un grand producteur d’aluminium, qui s’est fait crypto-lockés et a dû passer à des opérations manuelles dans certains sites de production. La deuxième concerne des hackers qui ont fait paniqué les habitants de deux villes du Texas en piratant les systèmes d’alertes à la tornade.

Europol a annoncé cette semaine le nouveau protocole de l’Union européenne en matière de réaction d’urgence face aux cyberattaques transfrontalières majeures.

Cette semaine, vous noterez également le piratage d’une voiture Tesla lors d’une rencontre officielle de pirates et la création d’un master en cyber-sécurité au sein des écoles polytechniques fédérales EPF.

Et voici toutes actualités intéressantes sélectionnées cette semaine :

Vol / perte de données

MySpace loses 50 million songs in server migration
Everything uploaded prior to 2015 is gone for good, the cobwebby social network finally admitted.

http://www.ehackingnews.com/2019/03/hacker-puts-up-for-sale-data-of-six.html

FEMA exposed personal data on 2.3 million disaster survivors, violated privacy law, IG finds
The negligence leaves the survivors of disasters at increased risk to identity fraud schemes.

89% of EU Government Sites Infiltrated by Ad Tracking Scripts
Third-party advertising technology trackers from 112 companies were found on 89% of official government websites of EU member states by Cookiebot, a cookie and online tracking consent solution, after scanning 184,683 pages.

Cyber-attaques / fraudes

Tesla car hacked at Pwn2Own contest
Research duo who hacked Tesla car win the competition’s overall standings. They also get to keep the car.

Ransomware : Norsk Hydro bascule en manuel après une infection majeure
La cyber-attaque a été identifiée comme étant une infection au logiciel de rançon LockerGoga. Cette attaque montre une nouvelle fois la vulnérabilité des systèmes industriels à ce type de menace.

Panic after hackers take control of emergency tornado alarms in Texas
Hackers breached the systems to raise false alarms and in total, they set off 30 alarms in Lancaster and the rest in DeSoto. Lean more:

Medtronic defibrillators vulnerable to life threatening cyber attacks
According to The Department of Homeland Security (DHS), Medtronic defibrillators are vulnerable to cyber attacks allowing hackers. Learn how:

New Europol Protocol Addresses Cross-Border Cyberattacks
The protocol is intended to support EU law enforcement in providing rapid assessment and response for cyberattacks across borders.

Failles / vulnérabilités

Facebook a stocké des centaines de millions de mots de passe non chiffrés
Nouvelle faille massive de la sécurité chez Facebook: des centaines de millions de mots de passe non chiffrés ont figuré pendant des années sur une base de données interne, accessible à de nombreux collaborateurs.

Microsoft Office Dominates Most Exploited List
Lone Android vulnerability among the top 10 software flaws most abused by cybercriminals.

Réglementaire / juridique

EU adopts EU Law Enforcement Emergency Response Protocol for massive cyberattacks
Europol announced the EU Law Enforcement Emergency Response Protocol new protocol for law enforcement agencies in the European Union and abroad to handle major cross-border cyberattacks. Europol announced the adoption of a new protocol for

Lithuanian Pleads Guilty to Stealing $100 Million From Google, Facebook
A Lithuanian man pleaded guilty to wire fraud, aggravated identity theft, and three counts of money laundering, and faces a maximum of 30 years in jail after tricking Google and Facebook employees into wiring over $100 million into bank accounts he controlled.

Divers

L’EPFL et l’EPFZ lancent un master conjoint en cybersécurité – Le Temps
Le besoin en experts dans ce secteur a été identifié dans le cadre de la “Stratégie nationale” de cybersécurité, ont indiqué mardi les présidents des deux universités, accompagnés du conseiller fédéral Guy Parmelin

https://blog.avira.com/the-world-is-vanishing-from-the-www/

Le secteur privé va pouvoir délivrer les e-ID suisses
Concernant la loi sur les services d’identification électronique, le Conseil national a accepté le projet du Conseil fédéral qui prévoit un partage des rôles entre acteurs publics et privés.