Box verre-1

Sextorsion épisode 3 : prends l'argent !

le .

Cet article est la traduction de « Sextortion: Follow the Money Part 3 - The cashout begins! », rédigé le 1er février 2019 par M. Rick Wanner pour le SANS ISC. Dans la présente traduction, lorsque l'article original contient un lien, nous pouvons avoir ajouté un second lien vers une traduction en français. L'utilisation de la première personne signifie que c'est l'auteur originel, M. Wanner, qui s'exprime.

Il n'y a pas eu beaucoup à dire ces derniers mois depuis les dernières mises à jour de « Sexploitation : prends l'argent » présentés dans les Note 1 et Note 2.  Pour ceux qui n'ont pas lu ces notes, lorsque les campagnes de sextortion ont débuté en juillet, j'ai demandé aux lecteurs de l'ISC de me transmettre les adresses Bitcoin extraites de ces campagnes afin que nous puissions suivre les paiements effectués sur ces portefeuilles. Lors de la dernière mise à jour de septembre, de nombreux imitateurs étaient apparus, mais les versements associés à la première campagne étaient toujours dans les portefeuilles utilisés initialement.

Authentification locale à double facteur via U2F

le .

Il n'est guère nécessaire de rappeler que les mots de passe constituent une faiblesse significative dans les architectures informatiques. Pas une semaine ne se passe sans que l'on apprenne la compromission de mots de passe, parfois sur une échelle de plusieurs dizaines voire centaines de millions de comptes.

Clé U2FL'authentification à double facteur vise à limiter la dépendance sur un mot de passe : il faut non plus un mais deux éléments d'authentification, le second éléments étant variable dans le temps et dépendant d'un composant matériel particulier. Ce peut être un téléphone, avec une application comme Google Authenticator, ou un composant spécial de type ActivCard ou Token RSA.

Depuis 2015, un nouveau type de produit est apparu, dont le très faible coût se révèle particulièrement intéressant : les clés FIDO/U2F (pour Universal 2nd Factor, ou double-facteur universel). Il s'agit de crypto-clés USB qui facilitent singulièrement la mise en oeuvre d'une authentification à double facteur, y compris pour une authentification locale.

Données nominatives et procédures de justice

le .

Collecte et licéité des preuves

Nous avons déjà abordé la question de la gestion des preuves dans une procédure de justice (qui, pour une entreprise, est souvent une procédure prud'hommale). Dans ce premier article, nous évoquons la collecte d'une preuve informatique, et le fait que cela ne s'improvise pas. Ce point de vue n'a pas changé.

Nous traitons ici d'un sujet connexe : l'exploitabilité devant un tribunal des éléments collectés.