Par Thomas Mannierre, Directeur EMEA Sud de BeyondTrust L’IA a fait entrer les braquages dans une nouvelle dimension. Plus besoin d’une cagoule noire désormais. En améliorant les attaques d'ingénierie sociale modernes, l’IA a donné naissance à un autre type de menaces : les deepfakes. Bienvenue dans ce qui pourrait être un épisode de Black Mirror ! Le faux CFO de Hong Kong En début d’année, une entreprise à Hong Kong s’est vue escroquée de 25,6 millions de dollars par un hacker utilisant l’IA et la technologie deepfake pour usurper l’identité d’un directeur financier. Si l'on en croit les rapports d’enquête, l'attaque a simulé un environnement de vidéoconférence complet et utilisé une fausse identité d'un important directeur financier de Hong Kong et d'autres participants à la réunion. La victime ciblée du département financier s'est d'abord méfiée d'un e-mail de phishing prétendant provenir du directeur financier. Cependant, la victime a rejoint une con
C’est l’une des nouveautés les plus remarquables de la deuxième phase du déconfinement qui a commencé ce mercredi : le pass sanitaire. Ce certificat qui permet de prouver que l’on est vacciné, que l’on a passé un test PCR négatif récemment ou que l’on est immunisé, est l’une des clés du retour à la vie d’avant, tant en France qu’au niveau Européen. Le certificat vert a d’ailleurs été approuvé hier par le Parlement européen et chacun des Etats membres doit désormais le mettre en œuvre avec la possibilité d’en étendre les capacités à d’autres fonctionnalités.
Le pass sanitaire largement approuvé par les Français
Le pass sanitaire, qui avait par le passé déclenché une vive polémique lorsqu’on parlait alors de «passeport sanitaire» est désormais largement plébiscité par les Français. «61% sont favorables à la mise en place d’un pass sanitaire conditionnant l’accès à certains lieux ou événements (stades, salles de concert, festivals…) à une vaccination contre la Covid-19 ou à un test négatif récent», indiquait un sondage Elabe le 20 mai, qui notait que l’adhésion au pass sanitaire augmente même nettement avec l’âge, de 53% chez les moins de 50 ans à 79% chez les 65 ans et plus.
Les principales réserves qui sont pour l’heure exprimées concernent la protection des données personnelles et la question de la fracture numérique. Au moment du vote, plusieurs eurodéputés ont ainsi émis des réserves quant à la protection des données personnelles. L’eurodéputée écologiste française Michèle Rivasi a estimé que le pass «ouvre un nouveau risque en manière de traçabilité».
Le QR Code transite... par une société américaine
En présentant le pass sanitaire, qui est une nouvelle fonctionnalité de son application TousAntiCovid, le gouvernement s’est voulu rassurant. «Plusieurs garanties ont été apportées pour assurer le respect des données des utilisateurs», indique l’exécutif précisant que «les informations personnelles affichées sur l’application TousAntiCovid Verif (l’autre application utilisée pour le personnel chargé de vérifier le QR Code de TousAntiCovid, ndlr) lors des contrôles sont minimisées.»
«Lors du contrôle du pass sanitaire via l’application TousAntiCovid Verif, aucune donnée personnelle n’est stockée, que ce soit sur le terminal de la personne habilitée à contrôler ou sur un serveur central. La signature électronique de la preuve sanitaire est transmise à un serveur central pour s’assurer de son authenticité. C’est cette transmission de la signature qui permet au certificat d’être infalsifiable», explique le gouvernement.
Mais cette transmission à un serveur central semble moins sécurisée qu’annoncée comme viennent de le démontrer plusieurs hackers et informaticiens. « Tout le contenu du 2D-DOC (le QR code, ndlr) est envoyé vers un serveur d’IN Groupe (Imprimerie nationale) qui renvoie le résultat de la vérification », explique au site spécialisé 01Net le développeur «GilbsGilbs »?
Selon lui, mais aussi d’autres informaticiens, si la transmission entre TousAntiCovid Verif et IN Groupe est sécurisée, les données arrivent en clair chez un prestataire tiers américain, Akamai, qui peut donc collecter les données de santé des Français... « Que fait-on si les serveurs d’IN Groupe tombent en panne ou subissent une attaque ?», interroge GilbsGiglbs. TousAntiCovid Verif utilise par ailleurs des interfaces de programmation tierces et propriétaires comme Google Firebase ou Crashlytics.
Cédric O a annoncé une mise à jour
L’application TousAntiCovid « qui avait promis, craché, juré qu’elle ne contiendrait pas de données personnelles vient donc de revenir très discrètement sur ses promesses», estime dès lors Christian Quest, data scientist et porte-parole d’OpenStreetMap.
Face à ces critiques, Cédric O, secrétaire d’Etat au numérique, a expliqué mardi que TousAntiCovid Vérif allait faire l’objet d’une mise à jour qui devrait supprimer les composants de Google et permettre une vérification en local sur le smartphone, sans transmission de données cette fois.