#Le brief du 19 septembre 2024

RED by SFR informe ses clients d’une nouvelle fuite, avec une ribambelle de données

Jeudi 19 septembre 2024 à 17h06
19/09/2024 à 17h06
Sécurité
3 min 3

La semaine dernière était classée noire au niveau des fuites de données : Boulanger, Cultura, DiviaMobilités, Truffaut, Cybertek et Grosbill (qui font partie du même groupe) ainsi que l’Assurance retraite. Après une petite accalmie, les affaires reprennent chez RED by SFR, la marque « low cost » de SFR.

Un email a été envoyé aux clients concernés : « Le 3 septembre dernier, SFR a détecté un incident de sécurité portant sur un outil de gestion de commandes de ses clients. Cet incident a entrainé un accès externe non autorisé à des données personnelles vous concernant ».

La marque au carré rouge joue du sarcasme (enfin, on espère…) en expliquant que le périmètre concerne « exclusivement des données suivantes », comme si c’était une bonne nouvelle : nom, prénom, coordonnées, données contractuelles (type de forfait, contenu de la commande), IBAN, numéro d’identification du smartphone et de la carte SIM… excusez du peu.

SFR affirme qu’aucune autre donnée n’est concernée, comme le mot de passe, le « détail de vos appels et le contenu de vos SMS ». Encore heureux ! On se demanderait bien pourquoi un « outil de gestion de commandes » des clients aurait accès à de telles informations personnelles.

L’incident est clos, les « procédures d’authentification pour toute demande de modification de coordonnées de contact » ont été renforcées. La CNIL a été informée, comme la loi l’y oblige. Une plainte a aussi été déposée, affirme la société.

Selon l’expert en cybersécurité SaxX. sur X, cette fuite pourrait être celle révélée le 4 septembre. La chronologie des faits pourrait correspondre en tout cas. Le pirate revendiquait le vol des données de 50 000 clients, un chiffre à confirmer. Nous avons évidemment contacté Altice France afin de savoir combien de clients étaient concernés, que ce soit chez RED by SFR ou chez SFR en direct le cas échéant, mais sans réponse pour l’instant.

Toujours selon SaxX., qui écume les forums spécialisés, « 1,4 million de données de SFR » auraient été mises en vente en juillet de cette année.

DMA : l’Europe veut guider Apple vers une meilleure interopérabilité

Jeudi 19 septembre 2024 à 16h39
19/09/2024 à 16h39
Droit
2 min 1

Décidément, la Commission européenne a du travail avec Apple. Dans un récent communiqué, elle annonce l’ouverture de deux procédures de spécification, en vue « d’aider Apple à se conformer à ses obligations en matière d'interopérabilité », en vertu du DMA.

L’article 8, paragraphe 2 de la loi sur les marchés numériques permet à la Commission de préciser les mesures qu’un contrôleur d’accès (« gatekeeper ») doit appliquer pour « assurer le respect effectif des obligations substantielles du DMA ». En l’occurrence, la Commission veut aider Apple à mettre en œuvre certains changements liés à l’interopérabilité d’iOS et iPadOS.

La première procédure porte sur la connectivité d’iOS, plus spécifiquement les caractéristiques et fonctionnalités utilisées « pour et par les appareils connectés ». Ces derniers comprennent les montres connectées, les écouteurs et autres casques de réalité virtuelle. La Commission compte donc intervenir pour préciser un certain nombre de points, notamment tout ce qui touche aux notifications, à l’appairage des produits et leur connectivité.

L’autre procédure « porte sur le processus mis en place par Apple pour traiter les demandes d'interopérabilité soumises par les développeurs et les tiers pour iOS et iPadOS ». La Commission veut s’assurer que ce processus est « transparent, rapide et équitable ». Objectif : que les développeurs concernés sachent où ils mettent les pieds.

La Commission se donne six mois pour préparer ses observations et instructions. Au terme de ce délai, elle publiera un rapport préliminaire pour exposer ses conclusions et mesures envisagées, afin que les tiers concernés puissent faire remonter leurs observations.

« Aujourd'hui, c'est la première fois que nous utilisons les procédures de spécification dans le cadre du DMA pour guider Apple vers le respect effectif de ses obligations en matière d'interopérabilité par le biais d'un dialogue constructif », a indiqué Margrethe Vestager, commissaire chargée de la concurrence. « Ce processus apportera de la clarté aux développeurs, aux tiers et à Apple ».

Le CERN va expulser des centaines de chercheurs affiliés à des institutions russes fin novembre

Jeudi 19 septembre 2024 à 16h16
19/09/2024 à 16h16
Sciences et espace
2 min

Décoration pour représenter le brief d'article

Comme l'explique la revue Nature, le CERN se prépare à expulser les chercheurs affiliés à des institutions russes le 30 novembre. Pour continuer à travailler avec le centre de recherche européen, ces scientifiques doivent trouver une affiliation qui ne soit pas en lien avec la Russie.

L'institution de recherche européenne avait déjà décidé, dès mars 2022 de suspendre le statut d'observateur de la Russie suite à l'invasion de l'Ukraine. Mais des accords de coopération étaient encore en cours. Le CERN avait déjà prévenu qu'il ne les renouvellerait pas.

Mais Nature explique que la relation du CERN avec la Russie est plus compliquée puisque l'organisation européenne « continuera de travailler avec des scientifiques basés en Russie dans le cadre d'un accord avec le Joint Institute for Nuclear Research (JINR), un centre intergouvernemental situé à Dubna, près de Moscou ». Et cet accord n'est pas le même que celui signé avec la Russie. La revue scientifique raconte que cette décision de continuer de travailler avec le JINR et donc de respecter la date de fin de cet accord divise les chercheurs de l'institution.

Pour le chercheur Borys Grynyov, qui représente l'Ukraine au conseil du CERN, c'est une « grave erreur ». Mais la revue rappelle que le CERN est aussi un symbole de coopération scientifique important, puisqu'il a commencé à collaborer avec l'URSS en 1955 et que de nombreux chercheurs russes ont utilisé le Grand collisionneur de hadrons (LHC).

Nintendo et The Pokemon Company poursuivent le développeur de Palworld en justice

Jeudi 19 septembre 2024 à 11h32
19/09/2024 à 11h32
Droit
1 min 13

Décoration pour représenter le brief d'article

Nintendo et The Pokemon Company attaquent Pocketpair, le développeur du jeu Palworld, en justice.

Lancé en accès anticipé en janvier 2024, Palworld ne s’était pas caché de ses similarités avec la franchise culte – au point de se retrouver fréquemment décrit comme un jeu de « Pokémon avec des flingues ».

En à peine trois jours, le jeu s’était écoulé à plus de 5 millions de copies… et the Pokémon Company n’avait pas tardé à annoncer qu’il enquêterait sur la potentielle violation de propriété intellectuelle.

Ce 19 septembre, Nintendo indique poursuivre ses créateurs pour violation de multiples brevets, sans donner plus de détails.

iOS 18 : un drôle de plantage pour Messages

Jeudi 19 septembre 2024 à 10h31
19/09/2024 à 10h31
Logiciel
2 min 3

Décoration pour représenter le brief d'article

C’est un drôle de bug, aussi spécifique que désagréable quand il intervient. Sur iOS 18, il est en effet possible de faire planter l’application Messages quand, dans une conversation de groupe, une personne partage un cadran d’Apple Watch. Dès qu’une autre personne cherche à répondre directement à ce message, l’application plante.

Non seulement ce plantage intervient pour la personne ayant répondu au partage du cadran, mais elle le fait chez tous les participants de la conversation.

Un bug d’autant plus pénible que pour l’instant, la seule méthode pour ne plus y avoir à faire est de redémarrer l’appareil, ouvrir Messages et supprimer la conversation. Une solution loin d’être idéale, puisque cela signifie la perte de toutes les informations, photos et vidéos qui avaient été éventuellement partagées.

9to5mac, qui rapporte le problème, indique que le problème est en partie présent sur les dernières bêtas d’iOS/iPadOS 18.1 et macOS 15.1. Il s’agit donc d’un problème qu’Apple n’avait pas encore vu. La firme ne s’est pas exprimée sur le sujet, mais on imagine qu’un correctif devrait rapidement arriver.

Sur Discord, les appels audio et vidéo passent au chiffrement de bout en bout

Jeudi 19 septembre 2024 à 10h02
19/09/2024 à 10h02
Internet
2 min 6

La plateforme d’échange a annoncé mardi soir un changement important dans ses communications audio et vidéo : elles sont désormais chiffrées de bout en bout. Cette nouveauté est en cours de déploiement.

« Aujourd'hui, nous allons commencer à migrer la voix et la vidéo dans les DM, les DM de groupe, les canaux vocaux et les flux Go Live pour utiliser l'E2EE [End-to-End Encryption, ndlr]. Vous pourrez confirmer que les appels sont chiffrés de bout en bout et procéder à la vérification des autres participants à ces appels », explique Discord.

La société a développé un protocole spécifique. Nommé DAVE, elle en a publié le livre blanc sur GitHub, de même que les bibliothèques ayant servi à l’implémentation. Ces dernières sont d’ailleurs sous licence MIT, question de transparence selon Discord.

L’entreprise dit également s’être appuyée sur les audits réalisés par la société de sécurité indépendante Trail of Bits. Elle publie d’ailleurs leurs résultats pour l’examen de la conception et de sa mise en œuvre. Discord explique nombre de ses choix techniques, notamment l’utilisation du standard Messaging Layer Security (MLS).

S’agit-il d’une étape vers un chiffrement de bout en bout pour l’intégralité de la plateforme ? Non, indique Discord, pour des raisons de modération. Les conversations textuelles sur les salons ou par messagerie directe resteront sur leur chiffrement classique.

« La sécurité est indissociable de notre produit et de nos politiques. Alors que l'audio et la vidéo seront chiffrés de bout en bout, les messages sur Discord continueront à suivre notre approche de modération du contenu », indique Discord.

La suite iWork mise à jour pour profiter des nouveautés d’iOS 18 et macOS Sequoia

Jeudi 19 septembre 2024 à 08h46
19/09/2024 à 08h46
Logiciel
2 min

Chaque fois qu’Apple publie de nouvelles versions de ses plateformes à l’automne, elle enchaine avec des mises à jour significatives pour iWork, sa suite bureautique. La version 14.2 suit ainsi l’arrivée d’iOS 18 et macOS Sequoia, avec souvent des apports spécifiques.

Sur iOS 18 (et donc iPadOS 18) par exemple, Pages apporte un nouveau navigateur de documents, décrit comme plus simple à manipuler. Pour les autres versions, on peut pincer l’Apple Pencil Pro « pour changer rapidement d’outil, d’épaisseur de trait et de couleur ». Sur macOS, Pages 14.2 n’apporte que des correctifs et des améliorations de performances.

Pour Keynote, c’est un peu plus copieux. Sur iOS 18 et macOS Sequoia, les images et vidéos HDR s’affichent avec une plus grande plage dynamique. On retrouve le nouveau navigateur de documents, le nouveau geste pour le Pencil Pro ainsi que des corrections de bugs. On note l’arrivée d’un geste « Toucher deux fois » l’Apple Watch pour passer à la diapositive suivante (requiert watchOS 11). Sur Sequoia, on peut lancer un diaporama pendant un appel FaceTime pour partager automatiquement la fenêtre de présentation.

Quant au tableur Numbers, il gagne les mêmes nouveautés générales déjà vues, à savoir le nouveau navigateur de documents, le geste du Pencil Pro, des corrections de bugs et des améliorations de performances.

Ces mises à jour sont disponibles dans l’App Store, que ce soit sur iOS/iPadOS ou macOS.

« $Hacked » : vaste vague de piratage de comptes sur X

Jeudi 19 septembre 2024 à 08h06
19/09/2024 à 08h06
Sécurité
2 min 4

Hier soir, des dizaines de comptes ont été piratés et diffusaient le même message : « THIS IS A HACKED ACCOUNT! INTRODUCING $HACKED ON SOLANA », avec l’adresse d’un portefeuille électronique. Solana est une crypto-monnaie.

Plusieurs de nos confrères dressent un inventaire de quelques comptes les plus marquants. Chez Numerama, il est question du footballeur Alexandre Lacazette, du site de Neymar, du réalisateur Oliver Stone, du compte d’un ambassadeur, d’une agence de l’Union européenne… BleepingComputer parle de MoneyControl et People Magazine.

Selon The Guardian, c’est également le cas du compte officiel de Shabana Mahmood, secrétaire d'État à la Justice au Royaume-Uni, Chris Elmore et Carolyn Harris, deux membres du Parlement du Royaume-Uni, ainsi que l'Organisation mondiale de la Santé et la branche indienne de Lenovo.

La méthode utilisée par les pirates n’est pas connue. Étant donné la diversité des comptes, il ne s’agit probablement pas d’une attaque individuelle sur chaque compte, mais d’un passage en force par une faille sur X ou sur un service tiers. Dans tous les cas, pensez à vérifier vos paramètres de sécurité (activez la double authentification et vérifier la liste des applications connectées (et des autorisations accordées en lecture et/ou écriture de messages).

Fermer