Flipboard, un service d’agrégation de nouvelles, a informé ses utilisateurs d’un incident de sécurité au cours duquel des pirates informatiques avaient eu accès à des systèmes internes pendant plus de neuf mois. Les pirates ont volé des noms d’utilisateur, des adresses électroniques, des mots de passe et des jetons de compte pour des services tiers.
Des chercheurs en sécurité ont découvert cette semaine une base de données non sécurisée 85GB de données dont des journaux de sécurité de grands hôtels, y compris les établissements Marriott.
Baltimore n’en a pas encore fini avec la cyber-attaque au ransomware dont elle est victime. Dans cette histoire, un membre du Congrès du Maryland a déclaré vendredi que la National Security Agency (NSA) avait nié qu’un de ses outils de piratage volé en 2017 avait été utilisé lors d’une attaque par ransomware. La NSA a fait plutôt entendre qu’un trou de 2 ans dans la mise à jour des systèmes en serait la cause principale selon elle.
Et voici toutes actualités intéressantes sélectionnées cette semaine :
Vol / perte de données
Flipboard says hackers stole user details | ZDNet
Flipboard, a news aggregator service and mobile news app, has started notifying users today of a security incident during which hackers had access to internal systems for more than nine months. In a series of emails seen by ZDNet that the company sent out to impacted users, Flipboard said hackers gained access to databases the company was using to store customer information.
Unsecured database exposes 85GB in security logs of major hotel chains | ZDNet
An unsecured database that exposed the security logs — and therefore potential cybersecurity weaknesses — of major hotels including Marriott locations has been uncovered by researchers. VpnMentor researchers Noam Rotem and Ran Locar published their findings on Thursday, noting that multiple hotels have been embroiled in the security incident.
Chinese database exposes 42.5 million records compiled from multiple dating apps – CyberScoop
Tens of millions of records about users of different dating apps have been discovered in a single database that doesn’t include any password protection, according to new research findings. The records discovered by researcher Jeremiah Fowler mostly were about American users, based on accessible IP addresses and geolocation information.
Grindr laisse ses employés espionner des millions d’utilisateurs – PhonAndroid.com
Grindr, l’application de rencontre pour les personnes gay, bi ou transgenres a permi à ses employés d’accéder aux données sensibles de millions d’utilisateurs.
Have I Been Pwned: Pwned websites
Have I Been Pwned allows you to search across multiple data breaches to see if your email address has been compromised.
Plus de 2,3 milliards de fichiers exposés en ligne | WeLiveSecurity
Des millions de fichiers qu’on peut trouver dans les différentes technologies de stockage de fichiers sont en fait chiffrés par des rançongiciels. Plus de 2,3 milliards de fichiers ont été exposés en ligne par inadvertance au cours de la dernière année, selon un rapport de l’organisme d’informations sur les menaces Digital Shadows.
iPhone : vos données sont discrètement partagées lors d’updates en arrière-plan
Le journaliste Geoffrey Fowler du Washington Post a réalisé un test de confidentialité en partenariat avec l’entreprise Disconnect spécialisée dans les produits et services dédiés au respect de la vie privée et des données personnels. Le but de cette enquête était de découvrir les liens existants entre les applications installées sur un iPhone et les entreprises qui collectent des données.
Cyber-attaques / fraudes
N.S.A. Denies Its Cyberweapon Was Used in Baltimore Attack, Congressman Says
BALTIMORE – A Maryland congressman said on Friday that the National Security Agency had denied that one of its hacking tools, stolen in 2017, was used in a ransomware attack on Baltimore’s government that had disrupted city services for more than three weeks. The statement, made by Representative C.A.
Baltimore est paralysé par un ransomware depuis trois semaines
Des hackers ont pris la ville de Baltimore en otage et réclament 100’000 dollars pour rendre l’accès aux ordinateurs de la municipalité. L’attaque s’appuierait sur EternalBlue, un malware dérobée à la NSA en 2017 et depuis utilisée par les pirates du monde entier.
Facebook et Twitter ont mis fin à une campagne de désinformation iranienne
Les deux plates-formes ont désactivé des comptes qui usurpaient l’identité d’hommes politiques américains ou se faisaient passer pour des journalistes. Ce réseau véhiculait des messages pro-iraniens.
Les DDOS effectuent un retour en force
On pensait en avoir terminé avec la vague d’attaques DDOS qui ont perturbé une grande partie de l’année dernière, mais ce type d’attaque revient en plus grand nombre et avec toujours plus de force depuis ce début d’année.
Spotify a réinitialisé des mots de passe : les utilisateurs surpris
Le géant suédois du streaming musical, Spotify, a envoyé un courrier à des utilisateurs leur indiquant que leur mot de passe avait été réinitialisé. Cette situation a créé une confusion. La plateforme de streaming musical, Spotify est très connue. Elle permet d’écouter de la musique très facilement avec une connexion internet.
Un adolescent pirate Apple pour décrocher un job, il écope d’une amende
Le jeune australien de 17 ans qui s’était amusé à infiltrer le système du géant américain Apple en 2015 et 2017 a finalement été reconnu coupable par la justice locale. Il devra montrer un comportement exemplaire pendant les 9 prochains mois, sous peine de se voir infliger une amende de 500 $ australiens (309€) pour son acte.
Failles / vulnérabilités
Près d’un million d’ordinateurs Windows vulnérables à la terrible faille BlueKeep
Les pirates qui arrivent à exploiter cette faille pourraient créer un dommage équivalent à celui de WannaCry ou NotPetya, voire pire. Certains acteurs malveillants semblent déjà tâter le terrain.
ASUS : l’outil de mise à jour transformé en backdoor par des hackers
L’outil de mise à jour d’ASUS a récemment été détourné par des hackers pour leur permettre d’installer des backdoors en vue de piratages ultérieurs. Difficile pour les fabricants de proposer des outils de mise à jour pour leurs appareils qui ne se présentent pas comme des cibles pour les pirates.
Google white hat hacker found code execution flaw in Notepad
The Google Project Zero researcher Tavis Ormandy announced the discovery of a code execution flaw in Microsoft’s Notepad text editor. Ormandy reported the issue to Microsoft and will wait 90 days according to Google vulnerability policy disclosure before revealing technical details of the flaw.
Réglementaire / juridique
L’Allemagne veut pouvoir écouter les messageries instantanées
Un projet de loi prévoit la fourniture d’un accès au contenu déchiffré sur demande des forces de l’ordre et après décision d’un juge.
New York could soon pass its own GDPR-inspired data security law – CyberScoop
Written by Jeff Stone May 29, 2019 | CYBERSCOOP New Yorkers could soon have clearer insight into when, where and how their data has been compromised under the terms of a bill expected to pass this week in the state’s legislature.
Hong Kong and Singapore sign memo on personal data protection | ZDNet
The Hong Kong Privacy Commissioner for Personal Data and Singaporean Personal Data Protection Commission has signed a memorandum of understanding that will see the pair cooperate on protecting personal data. According to the agreement, the two commissions will exchange information on potential or ongoing data breaches, conduct joint research projects, and share best practices and “experiences”.
Alleged LinkedIn hacker Yevgeniy Nikulin will stand trial in U.S. court, despite mental illness symptoms – CyberScoop
Yevgeniy Nikulin is headed back to court. The Russian accused of hacking a number of sites, including LinkedIn and Dropbox, was ruled fit to stand trial in a May 29 decision by U.S. District Judge William Alsup.
Divers
Un vieux PC portable bourré de malwares a été vendu 1,3 million de dollars
Pour matérialiser la dangerosité des attaques informatiques, un artiste a installé – avec l’aide de chercheurs en sécurité – six malwares particulièrement célèbres sur un netbook Samsung NC10.
Singapore to launch QR identity verification tool for businesses | ZDNet
The Singapore government says it will introduce a tool that enables businesses to verify user identity and transfer data via QR codes, giving them another way to facilitate customer acquisition and visitor registration at events. Called SG-Verify, the new platform is one of several the government has been planning for deployment this year as part of its smart nation efforts.
Russian military moves closer to replacing Windows with Astra Linux | ZDNet
Russian authorities have moved closer to implementing their plan of replacing the Windows OS on military systems with a locally-developed operating system named Astra Linux. Last month, the Russian Federal Service for Technical and Export Control (FSTEC) granted Astra Linux the security clearance of “special importance,” which means the OS can now be used to handle Russian government information of the highest degree of secrecy.