Le phishing est une technique d’arnaque sur le web. La plupart du temps, on en entend parler à propos des boîtes mails. Dans ce cadre, le fishing consiste à envoyer un mail à un internaute en lui faisant croire que cela est fait par un interlocuteur de confiance. Par exemple, cela peut prendre la forme d’un faux mail de votre banque, votre opérateur téléphone etc. Le mail envoyé ressemblera traits pour traits à celui dont l’identité est usurpée, avec probablement les mêmes logos, chartes graphiques etc. Le but de la manœuvre est de récupérer des informations sur vous comme vos mots de passe, numéro de carte de crédit, nom, adresse, date de naissance etc. Ces informations, selon le degré de précision pourront ensuite servir pour être revendues puis utilisées pour des achats en ligne.

Les risques d’hameçonnage peuvent également se présenter pendant la navigation sur le web. De la même façon, vous pouvez vous retrouver sur de faux site web créés dans le but décrit précédemment.

Que faire?

• Un principe de précaution raisonnable pour combattre le phishing par mail consiste à ne jamais suivre les liens des messages se présentant comme étant de votre banque, votre opérateur téléphone …etc, et en particulier lorsqu’il s’agit de consulter un compte, d’accéder à un espace sécurisé etc. Attention aux mails alarmistes vous annonçant qu’il est nécessaire de réactiver un compte, de retaper un mot de passe etc. Ne jamais donner suite! En cas de doute, contactez directement le responsable de la structure expéditrice supposée (allez chercher le contact sur leur site par ex).
Pour ce qui est des numéros de cartes de crédits, partez du principe qu’aucun organisme sérieux ne vous demandera jamais cela par mail. Préférez dans tous les cas un accès direct par le site auquel vous vous connectez habituellement.

•Vérifiez bien l’adresse de votre expéditeur et non pas seulement le nom d’expéditeur qui apparaît.

•Si votre boîte mail est infestée de SPAM (ou pourriels), ces messages qui essaient de vous vendre du viagra ou de vous soutirer de l’argent après vous avoir raconté une histoire ahurissante de deux pages; il est possible de la configurer pour activer des filtres qui devraient régler ce problème. Fouillez un peu, vous devriez trouver ça rapidement. Une autre solution particulièrement intéressante pour 1000 autres raison est d’installer le client mail Thunderbird. Ce logiciel libre produit par la fondation Mozilla (comme Firefox) fera une partie du travail, mais vous pourrez également y ajouter des modules comme Adblock Plus que l’on retrouve également comme anti-pub pour le navigateur Firefox.

•Lors de la navigation web, prenez l’habitude de vérifier l’adresse URL (http://www…), les sites malveillants ont en général une adresse similaire au site auquel vous voulez accéder mais comporte une petite erreur. Ex: www.revoltnumerique.herbesfolles.org Dans l’idéal, taper directement l’adresse de votre établissement vous procure davantage de sécurité.

•Lors de sessions sécurisées, certains sites vous demandent d’accepter un certificat. Assurez-vous avant de l’accepter qu’il s’agit du véritable site souhaité (en vérifiant l’URL par ex).

Non non, ça n’est pas une blague ni un scénario de film de science fiction! Les cramés de technologie ne seront pas bien surpris mais tout de même: les technologies de reconnaissance des visages prennent place sur le réseau social Facebook! Déjà réputé pour son entreprise de fichage progressif de la population mondiale (700 millions de profils), le joujou du milliardaire américain Mark Zuckerberg se perfectionne. Les photographies publiées sur le site seront désormais analysées afin de les mettre en correspondance avec les visages déjà « taggués » sur Facebook. Lorsqu’une personne voudra publier une photo sur laquelle vous figurez,  il sera proposé de l’associer à votre nom si les analyses ont été concluantes. Plus de 100 millions de photographies sont tagguées tous les jours sur le réseau.

Le plus incroyable dans cette affaire réside dans la méthode: les paramètres de sécurité des internautes ont été modifiés par Facebook et la fonction activée par défaut!
Il n’y a pas à dire, Zuckerberg a quand même bien réussi son coup pour se permettre une telle négation du droit à la vie privée. Le laxisme d’une majorité des utilisateurs de Facebook en matière de confidentialité de leurs données et de droit à l’image fait qu’il n’est même plus besoin de prendre des pincettes… Après tout, c’est tellement cool le progrès technique!

• Pour remédier à ce problème, allez à paramètres de compte / « Personnaliser les paramètres” / “Ce que d’autres partagent“, et désactivez “Suggérer à mes amis les photos où j’apparais“.
• Vous pouvez également fermer votre compte ce qui sera encore plus efficace pour protéger votre vie privée! 😉

Édit: depuis fin septembre la fonctionnalité a été temporairement désactivée: http://www.numerama.com/magazine/23807-facebook-interrompt-la-reconnaissance-faciale-en-europe.html

Peut-on encore avoir confiance en Firefox? C’est la question que l’on est en droit de se poser après la découverte qui a été faite sur l’un des modules que son site met à disposition: Ant Video Downloader.

Le chercheur indépendant Simon Newton s’est rendu compte que ce module qui sert à télécharger ou visionner des vidéos, collecte des informations sur ses utilisateurs comme: les adresses des sites visités ainsi que l’heure de connexion, des informations sur le navigateur et des cookies pro à chaque utilisateur et permettant donc de les identifier.

Ce comportement a été également observé lors de l’utilisation du mode navigation privée de Firefox, de VPN ou encore du réseau Tor.  (cf: http://www.developpez.com/actu/32229/Firefox-Ant-Video-Downloader-trace-les-utilisateurs-Mozilla-oblige-de-retirer-l-extension-populaire-de-sa-galerie/)

La réaction de Firefox est dans cette affaire peu rassurante. Certes, la fondation Mozilla qui finance le projet n’est pas responsable de la programmation du module qui était d’ailleurs présenté comme étant  en phase expérimentale. Mais elle a tout de même déclaré que la collecte d’informations n’est pas forcément contraire à ses critères d’admissibilité (!). Sept millions de téléchargements ont été effectués pour cette extension qui a été retirée selon Mozilla mais qui est à l’heure de l’écriture de ce post toujours (à nouveau?) disponible sur le site. Aucun avis ne fait mention de cet incident et seuls les commentaires d’utilisateurs informent les internautes du danger que comporte son utilisation!

« Le fait d’avoir ces données personnelles a beaucoup de valeur. Moins on gardera de traces comme celles-là, plus on aura de chances de tous mourir ».

Ces propos prononcés par  Larry Page le co-fondateur de Google et rapportés par le Telegraph en 2009 questionnent sur l’état d’esprit qui anime ces personnes. Avec 970 Millions de visiteurs uniques en janvier 2011 selon le Cabinet d’étude Comscore, il s’agit du premier « site » consulté au monde. L’implication des propos de son actuel PDG ne sont donc pas à prendre à la légère: ils concernent une écrasante majorité des internautes. Et les affaires s’accumulent lorsque l’on se penche sur le cas de Google. En avril dernier par exemple, l’entreprise se retrouve au centre d’une polémique: alors que ses voitures étaient chargées de collecter des images pour le tristement célèbre service Street View, des informations personnelles captées des lignes wifi publiques des riverains ont été engrangées. C’est en scannant les connexions actives que cela a été réalisé. Google déclare à la suite de cela: “nous n’avons ni visionné ni utilisé ces données pour des produits ou services de Google ».

Quel crédit accorder à cela lorsque la conservation des données personnelles est une question de vie ou de mort selon Larry Page? Quel crédit accorder à une entreprise toute puissante (8,5 milliards de dollars de profit en 2010, une augmentation de 30% en un an) et qui se situe au dessus des lois. En effet, pour le cas de la France, la CNIL n’a pas une marge de manœuvre exceptionnelle du fait qu’il s’agisse d’une entreprise sous la juridiction américaine. L’un de ses membres déclare en  2007: « En clair, Google peut contrôler toutes les données personnelles des individus. En exploitant de façon corrélée ces outils, Google pourrait se transformer en une redoutable société de surveillance. (..) Les internautes doivent savoir qu’en utilisant les services de Google, ils lui donnent la possibilité de les surveiller. » Google a d’ailleurs refusé en 2009 de se conformer aux recommandations du G29 qui réclamait que la durée de conservation des données personnelles passe de 12 à 6 mois.

L’occasion se représentera très probablement d’approfondir sur ce sujet et notamment sur les multiples services de fichage qu’ils proposent comme Gmail.

Quelles alternatives?

• (Ce projet a été arrêté) Issu du projet Google Watch visant à révéler les dérives du mastodonte de la Silicon Valley, Scroogle est une des solutions pour naviguer en sécurité. Faisant passer les requêtes de l’utilisateur par un serveur mandataire (ou proxy) open source qui chiffre et filtre les données transmises (pas de publicité même ciblée parmi les résultats), il nous permet donc d’accéder aux résultats de Google anonymement. Ceux-ci sont assez fidèles à ceux de Google mais nous n’avons malheureusement pas accès aux images ni aux vidéos. Autre point négatif, nous faisons quand même tourner Google en choisissant cette option.

Un module Firefox permet d’ajouter le moteur de recherche à sa barre: ici.

Site: http://www.scroogle.fr/ (ou .org pour la version anglaise).

• Ixquick est un méta-moteur (il utilise les résultats de plusieurs moteurs de recherche). De la même manière que Scroogle, il n’enregistre pas les adresses IP des utilisateurs. Les résultats proviennent de AOL, AlltheWeb, Altavista, Ask/Teoma, Bing, EntireWeb, Gigablast, Google, Open Directory et Wikipedia. Cependant, les résultats affichés ne sont pas si fidèles que cela lorsque l’on compare à une page de résultat Google.

Petits plus:
– un accès à des résultats d’images et de vidéos.
– La possibilité de passer toutes les requêtes en https (sécurisé).

site: http://www.ixquick.com/fra/
http://www.ixquick.com/fra/privacy-policy.html

Ixquick propose également le moteur StartPage, lequel propose les mêmes résultats que Google: https://startpage.com/

• Autre alternative: DuckDuckGo http://duckduckgo.com/

Quand on navigue, on est jamais anonymes. Nous laissons de nombreuses traces sur tous les sites, par nos requêtes, nos clics, nos choix de sites.  Il est par exemple possible de connaître du visiteur d’un site: son adresse IP, son fournisseur d’accès, son système d’exploitation, son navigateur, s’il accepte les cookies, s’il accepte le javascript, la page précédente visitée, la résolution de son écran ou encore l’heure affichée sur son ordinateur (permet de localiser).

Le site de la CNIL permet de faire le test afin de se rendre compte de cette fuite d’informations qui peuvent se révéler personnelles.

Lorsqu’on couple toutes ces informations avec celles liées à la navigation, on estime en général qu’il est possible de localiser une personne dans un rayon de 40m.

Les solutions pour se protéger sont nombreuses et peuvent se révéler contraignantes. Il s’agira bien souvent, et avant tout de changer ses habitudes. Il faudra selon les cas, peut-être trouver un autre moteur de recherche, ne plus accepter tous les cookies et les supprimer régulièrement, désactiver certaines fonctionnalités etc…

Attention: le mode navigation privée, proposé par Firefox notamment, est un premier pas mais ne protège en rien contre les informations stockées en dehors de votre ordinateur! Ça n’est pas parce que l’on ne garde pas de traces qu’il n’y a pas de témoins…