Restez informé quotidiennement des vidéos, des points de vue et des critiques de zvoon.net. Abonnez-vous dès maintenant à la chaîne Youtube, en un clic !
Ces derniers jours, nous avons été témoins d'une véritable affaire concernant le vol présumé de Ho. Les utilisateurs de téléphones portables, un événement assez grave dont les effets se feront sentir pendant longtemps, pour les consommateurs et pour le même opérateur.
Après quelques jours de silence, l'entreprise a confirmé qu'il y avait eu une fuite, sans toutefois en préciser l'ampleur exacte (d'après le communiqué de presse "données personnelles et techniques de la carte SIM mais pas les mots de passe et les données de la carte de crédit") et envoie désormais des SMS d'information aux utilisateurs concernés, leur suggérant de remplacer gratuitement leur carte SIM.
D'après ce qui est apparu ces derniers jours, le tableau d'ensemble est de plus en plus clair et si vous avez donc reçu le fameux sms, cela signifie que vos données personnelles (nom, prénom, résidence, code fiscal), le code unique de la carte SIM et l'e-mail avec lequel vous êtes inscrit à Ho. Des téléphones portables ont très probablement été volés et vendus sur le marché noir du web.
Le remplacement de la carte SIM suffira-t-il à apaiser les inquiétudes des utilisateurs ? Voyons point par point ce qui s'est passé et ce qu'il faut faire une fois que l'on est conscient de la situation, sans paniquer.
[lireaussi search="donné"]INDEX
ho. Mobile : toujours aucune information sur le vol de données mais la portabilité commence 3368
Mobile
03 Jan ho. Mobile confirme : activités illégales de personnes inconnues sur les données de certains de ses utilisateurs 2276
Mobile
04 Jan [lireaussi search="sim"]
LE VICENCIE
Dans la
soirée du 28 décembre, la Sécurité bancaire, un groupe qui s'occupe de la cybersécurité, a posté sur Twitter qu'une grande base de données contenant certaines données de Ho. Clients mobiles.
Dans les jours qui ont suivi, la discussion sur Twitter s'est enrichie de détails intéressants qui ont permis de prouver la véracité de la base de données mise en vente. Tout d'abord, il a été entendu que les données volées sont réelles, sans toutefois préciser le nombre exact de profils piratés, bien que le rapport de Bank Security parle de 2,5 millions d'utilisateurs.
[lireaussi search="vol"]QUELLES DONNÉES ET COMMENT
ELLES ONT ÉTÉ VOLÉES Il est
bon de préciser que nous entrons dans le champ des hypothèses, en fait à ce jour ho. Mobile n'a que partiellement clarifié jusqu'où le vol de données est allé, ce dont nous sommes sûrs est contenu dans le SMS que les clients reçoivent :
Comme on peut le voir dans la communication, il est fait référence aux données personnelles et aux données techniques du SIM d'une partie des utilisateurs. Cependant, selon ce qui a été divulgué par le vendeur de la base de données volée, les données exposées seraient beaucoup plus étendues et comprendraient les données personnelles complètes de l'utilisateur, l'adresse électronique du compte enregistré et toutes les données techniques de la carte SIM, y compris le code ICCID qui identifie la carte de manière unique.
En outre, les nombreux rapports que nous avons reçus de nos lecteurs suggèrent que cette "partie des utilisateurs" pourrait être très importante et probablement proche des 2,5 millions déclarés par les pirates informatiques, c'est-à-dire la quasi-totalité des Ho. Mobile.
La manière dont les données ont été volées reste un mystère, mais il semble que les hypothèses découlent des grandes portes ouvertes laissées dans le code qui régule les communications entre le client et le serveur. Apparemment, avec de simples requêtes web via l'API rest, il était possible (parce que maintenant il a été corrigé) d'obtenir certaines données utilisateur telles que les codes clients et le statut actif/désactivé.
Il s'agissait probablement de trouver la bonne instruction pour obtenir le vidage de la base de données en question.
API #homobile #Vodafone #Leak Ho-mobile[.]it/leanfe/restAPI/EndUserDataService/getEndUserData Leçon apprise.
-
Robin Root (@R0b1nR00t) 29 décembre 2020
LA POSITION DE HO. MOBILE
ho. Au départ, Mobile était assez vague dans ses déclarations
ho. mobile : aucune preuve d'accès massif à ses systèmes informatiques
En référence à certaines indiscrétions publiées dans la presse, ho. mobile n'a aucune preuve d'un accès massif à ses systèmes informatiques qui aurait mis en péril les données de sa clientèle
Nous avons entamé des enquêtes en collaboration avec les autorités chargées des enquêtes pour les approfondir.
seulement après quelques jours et avec les utilisateurs qui commencent à demander de manière préventive le remplacement de la carte SIM (moyennant une redevance), ce qui suit a été officiellement déclaré
ho. Mobile, comme cela a été officiellement déclaré le 28 décembre dernier, a entamé une enquête en collaboration avec les autorités d'investigation sur les vols de données présumés de ses clients mobiles.
Des vérifications supplémentaires effectuées, qui sont toujours en cours, il ressort que certaines données d'une partie de la clientèle ont été illégalement volées en se référant uniquement aux données personnelles et techniques de la carte SIM. L'entreprise communique qu'aucune donnée relative au trafic (messages textuels, appels téléphoniques, activité sur le web, etc.), ni aucune donnée bancaire ou relative à un système de paiement de ses clients n'a été volée de quelque manière que ce soit.
ho. Mobile dénonce cette activité illégale au détriment de ses clients et déclare avoir déjà déposé une plainte auprès de l'autorité d'enquête et informé le Garant de la vie privée, avec lequel elle travaille en contact étroit.
Malheureusement, ho. Les mobiles, comme beaucoup d'autres entreprises, ont été victimes de cyber-attaques qui se sont intensifiées et accélérées pendant la pandémie.
En ces heures, nous ne procédons qu'à l'information des ho. Les clients de téléphonie mobile sont touchés, et nous avons déjà activé des couches de sécurité supplémentaires et nouvelles pour protéger les clients contre les menaces potentielles. D'autres mesures visant à protéger les données volées sont en cours de mise en œuvre et seront communiquées aux clients.
Si les clients souhaitent toujours remplacer leur carte SIM, ils peuvent demander un remplacement gratuit dans les points de vente autorisés.
Nous sommes témoins de divers phénomènes spéculatifs sur les réseaux sociaux et nous invitons donc les clients à vérifier directement auprès des canaux officiels de ho. Les canaux officiels mobiles (site web, application, centre d'appel) pour tout besoin d'information et de soutien.
La déclaration n'ajoute aucune information à ce qui est déjà connu et réitère l'étendue des données volées en précisant ce qui n'a pas été touché, mais sans préciser jusqu'où vont les données utilisateur volées, ainsi que pour les données techniques.
Parfois, la déclaration semble minimiser la situation. Le terme "données personnelles" est différent de "prénom, nom de famille, âge, lieu de résidence, sexe et numéro de sécurité sociale", et les "données techniques" mentionnées comprennent le code unique de la CICDI, qui, combiné aux courriels et aux données personnelles, pourrait suffire pour effectuer ce qu'on appelle l'échange, ce qui est un détail important.
L'opérateur virtuel a ensuite publié une série de F.A.Q. qui clarifient enfin un peu mieux la situation, mais qui poursuivent le manque de transparence dans l'exposition des risques auxquels serait exposé le client auquel les données ont été volées.
Ces derniers jours, comme nous vous l'avons dit, un contact proche d'Iliad a confirmé une augmentation considérable des demandes de portabilité, signe évident que les utilisateurs optent pour la contre-mesure la plus drastique : le changement d'opérateur
. Dans le
même temps, certains lecteurs font état de difficultés à remplacer les cartes SIM dans les magasins, de longues attentes entre les stocks qui sont rares et les restrictions de voyage imposées par le verrouillage.
LES RISQUES POUR LE CLIENT ET CE QU’IL FAUT FAIRE
ho. Mobile suggère de manière assez modérée de remplacer la carte SIM. En réalité, cette mesure ne pourrait remédier que partiellement à certains des risques auxquels sont exposés les utilisateurs dont les données ont été volées. Voyons-les plus en détail.
Les données qui ont abouti sur le réseau constituent un pécule intéressant pour diverses activités illicites qui se configurent en deux macro catégories :
SWAP SIM
Il
ne s'agit pas d'une activité illégale en soi, elle consiste en fait à remplacer une carte SIM par une nouvelle en effectuant la portabilité du numéro. Pour effectuer cette opération, il est nécessaire de connaître les données du titulaire et le code ICCID unique de la carte SIM, et ces deux informations seraient en possession de pirates informatiques.
Cela pourrait être utilisé pour contrôler l'accès à certains comptes avec une authentification à deux facteurs, notamment les profils bancaires et de gestion pour les cartes prépayées et les comptes virtuels. Le hacker a besoin d'une nouvelle carte SIM grâce aux informations en sa possession. Une fois obtenues, il peut recevoir des SMS avec des pins de confirmation qui lui permettent d'accéder aux services ou pire encore de changer de mot de passe.
Dans le cas précis qui nous occupe, la situation semble plus grave car, outre les données de l'utilisateur, l'adresse électronique a également été volée. Imaginer un scénario plausible dans lequel un Ho. L'utilisateur de téléphone portable s'est enregistré sur la plateforme de l'opérateur avec la même adresse électronique que sur son profil Amazon, les attaquants auraient déjà le "nom d'utilisateur" entre les mains. Ainsi, une fois qu'ils ont réussi l'échange de cartes SIM, ils peuvent, en quelques clics, demander un nouveau mot de passe pour accéder au compte Amazon (dans lequel les cartes de crédit sont stockées).
Il en va de même pour les comptes Google, les comptes des réseaux sociaux et même certaines banques virtuelles. Cependant, même un pirate informatique aurait beaucoup de mal à effectuer toutes ces démarches sans problème et sans vérification supplémentaire par les services web.
QUE FAIRE
Heureusement, aussi grave que soit la menace, il est assez simple de mettre en œuvre des contre-mesures. Tout d'abord, il est difficile pour les pirates de réaliser un échange de cartes SIM, surtout maintenant que l'activité illégale sur Ho. Numéros de téléphone portable, en France il est toujours nécessaire d'avoir une reconnaissance en personne ou virtuelle mais avec un appel vidéo pour vérifier que la personne qui demande l'échange est bien le titulaire de la carte SIM.
À l'heure actuelle, un échange de cartes SIM ne peut être effectué qu'avec l'accord des employés de mauvaise foi.
Toutefois, il existe un moyen d'éliminer complètement le risque : remplacer le SIM. Ainsi, le numéro de téléphone restera le même, mais le code ICCID unique de la carte SIM sera modifié, et les pirates informatiques se retrouveront avec un ancien code inutilisable.
Si vous ne remplacez pas la carte SIM ou si vous devez attendre quelques semaines avant de la remplacer, vous risquez de vous retrouver dans une situation où des pirates informatiques malveillants initient illégalement un échange.
Pas de panique : avant que l'échange ne devienne effectif, vous recevrez sur votre téléphone un SMS vous avertissant de la procédure, après quoi la carte SIM cessera de fonctionner. Avec un peu d'attention, vous pouvez remarquer l'activité en cours et l'arrêter en contactant l'opérateur téléphonique et en déposant une plainte auprès des autorités.
Enfin, une autre contre-mesure simple à mettre en œuvre dans tous les cas est la suivante : déconnecter l'enregistrement avec la ho. Mobile ou au moins vérifier que vous n'avez pas effectué l'inscription avec le même email que celui utilisé pour le compte de l'opérateur téléphonique, dans ce cas il suffit de changer l'email avec lequel vous êtes inscrit sur les différents profils (Amazon, Social, banque virtuelle, etc.).
C'est une nuisance qui prendra du temps mais qui est nécessaire.
PHISHING
Il s'agit d'
une pratique dite illicite d'ingénierie sociale : des personnes malveillantes construisent habilement une fausse communication qui invite la personne malchanceuse à fournir des données personnelles et sensibles pour accéder à des comptes, des profils bancaires, des cartes de crédit, etc. C'est une méthode sournoise qui exploite le manque d'attention et de préparation des gens dans le domaine de la sécurité informatique.
Nous sommes tous constamment exposés aux menaces de type phishing, il suffit d'ouvrir le dossier SPAM de votre client de messagerie pour se rendre compte de la quantité insoupçonnée de courriers électroniques frauduleux que nous recevons en permanence.
voici un exemple de phishing par courrier électroniqueQue font
les données volées sur les serveurs de ho. Des serveurs mobiles ? Toutes les grandes quantités d'informations personnelles seront très probablement utilisées pour élaborer des tentatives d'hameçonnage extrêmement convaincantes et réalistes. Non seulement par courrier électronique, mais aussi par téléphone ou sur les réseaux sociaux.
Imaginez que vous recevez un courriel bien écrit avec un formulaire pré-rempli dans lequel vos coordonnées complètes et votre numéro de téléphone apparaissent précisément. Peut-être aura-t-elle aussi l'aspect graphique correspondant à celui des communications officielles des faux expéditeurs, il n'y aura qu'un seul champ libre qui sera le mot de passe et l'invitation à le remplir. Voici un exemple que nous avons construit en quelques minutes :
le faux courriel de phishing. Heureusement,
beaucoup pourraient se faire avoir, surtout si l'on considère cette partie de la pute. Les utilisateurs de mobiles sont des personnes très jeunes ou âgées qui ont profité des offres intéressantes de l'opérateur virtuel ces dernières années.
QUE FAIRE
Il n'y a pas de recette exacte pour se défendre contre ce genre de fraude, il suffit d'être très prudent, de se méfier des courriels convaincants de services non sollicités, de toujours faire attention à l'expéditeur des adresses électroniques et de demander à s'identifier auprès des interlocuteurs au téléphone
.
Voici quelques exemples d
'
expéditeurs
de
courrier électronique manifestement malveillantsIl
n
'est
pas
toujours facile de se rendre compte de la prise, il faut donc garder une suspicion raisonnable et toujours s'assurer de ce que l'on fait. Les personnes les plus exposées sont certainement les personnes âgées et tous ceux qui n'ont pas un minimum de connaissance des éventuelles escroqueries en ligne, évidemment un nombre assez important de victimes potentielles, sinon ce genre d'activité illégale n'existerait plus.
QUELQUES
EXEMPLES
A PRENDRE EN COMPTE
Le vol de données est maintenant terminé, mieux vaut en prendre note et traiter le problème avec bon sens
.
Voici donc quelques situations typiques qui devraient vous alarmer.
