Privacy Week : Les données personnelles ont plus de valeur que l’on ne pense

 

L'empreinte digitale laissée lorsque nous utilisons Internet est plus grande - et plus révélatrice - que l’on croie

Le 26 janvier 2023 - « L’éclairage public m'écoute. Je suis sûr que les publicités que je vois en ligne proviennent d'une conversation que j'ai eue en marchant dans la rue», selon un ami de Tony Anscombe, Chief Security Evangelist chez ESET.

Si on est lié d'une manière ou d'une autre au secteur de la cyber-sécurité et/ou de la confidentialité, on aura entendu des affirmations similaires. Si on essaie d'expliquer comment les entreprises ont collecté les données utilisées pour la publicité, cela ne passe pas car il faut que les gens comprennent qu’ils ont probablement volontairement, mais sans le savoir, autorisé la collecte et l'utilisation de leurs données

Le processus est souvent invisible. Les données sont collectées secrètement à partir des actions que nous prenons et des extraits d'informations que nous divulguons ouvertement. Les entreprises utilisent alors la technologie pour faire des déductions «intelligentes» sur nos préférences.

Utiliser une appli GPS pour trouver un restaurant spécialisé dans une certaine cuisine et le moteur de recherche peut vérifier que vous mangez au restaurant, quel jour de la semaine, à quelle fréquence, jusqu'où vous êtes prêt à voyager, les préférences alimentaires, l'heure de la journée à laquelle vous mangez, etc. Ici, les données n'étaient que le nom du restaurant, mais ce qui peut en être déduit peut être très important.

Comprendre comment les données sont collectées et les conclusions qu’on peut en tirer est compliqué. C’est probablement un sujet fort intéressant quand quelqu'un l'explique mais probablement trop complexe pour essayer d'éviter la collecte. Il est même probable que ceux qui sont au courant donnent plus d'informations qu'ils ne le pensent.

Éduquer les consommateurs sur la valeur et l'importance de leurs données personnelles est la raison pour laquelle, en janvier 2008, les USA et le Canada ont créé la Journée de la Confidentialité des Données. C’est une extension de la Journée de la Protection des Données (Data Protection Day) créée par les pays européens en 2006. Le 28 janvier commémore la signature, en 1981, de la Convention 108, un traité international concernant la vie privée et  la protection des données.

Aux USA, cela s'est transformée en une semaine, offrant plus d’événements et une plus grande opportunité de participation. Depuis 2008 le monde des données et de la vie privée a considérablement changé. La valeur des données est reconnue par les entreprises et les gouvernements, entraînant une collecte importante de données personnelles. Cela a rendu nécessaire une législation, telle que le RGPD (règlement général sur la protection des données) dans l'UE et la loi californienne sur les droits à la vie privée (CPRA), qui offrent une certaine protection à ceux souhaitant contrôler l'utilisation de leurs informations personnelles.

Des activités telles que la Semaine de la Confidentialité des Données sont importantes, car elles stimulent les conversations entre les particuliers, les entreprises et les gouvernements. Mais l'évaluation des données et leur confidentialité est-elle plus importante que de laisser au hasard le fait que l’on puisse aborder le sujet lors d'un événement annuel ?

Pour Tony Anscombe la réponse est : "Oui, le concept de données personnelles, la valeur qu'elles ont, le risque qu'on en abuse ou simplement qu’on les utilise, devraient être un sujet d’éducation de base pour chacun avant qu'on n'utilise notre premier appareil «intelligent». Cela doit inclure une compréhension des droits que la législation sur la protection de la vie privée accorde à l'individu, le droit de suppression, de modification, de demander ces données, etc.”

Sans comprendre l'importance des informations personnelles collectées et la valeur qu'elles ont ou les droits de l'individu à gérer ses données, nous pouvons vaquer à nos occupations quotidiennes en blâmant l’éclairage public pour les publicités que nous verrons la semaine prochaine.

LECTURE COMPLÉMENTAIRE : Third‑party cookies: How they work and how to stop them from tracking you across the web Is your phone listening to you? Spring cleaning? Don’t forget about your digital footprint Is your personal data all over the internet? 7 steps to cleaning up your online presence

 

Hybride werk: business platforms worden bevoorrechte sociale ruimtes

 

De pandemie heeft de wereld én ons dagelijks leven veranderd. Het begon toen de meeste mensen en bedrijven communicatieoplossingen gingen gebruiken zoals Microsoft Teams, Slack en Zoom, die communicatiefuncties samenvoegden met samenwerkings- en productiviteitstools om het werken op afstand te vergemakkelijken. De populariteit van Skype en Skype for Business, tools die reeds bekend waren vóór ons 'nieuwe normaal', explodeerde als gevolg van hybride werken, studeren en gamen. Cloud-gebaseerde oplossingen, toegang tot bestanden en gedeelde bestanden, parallelle workflows, instant messaging, enz. werden goed bereikbaar.

 Wat populair wordt, is helaas ook erg aantrekkelijk voor hackers. In 2020 waren cloudgebaseerde cyberaanvallen goed voor 20% van alle cyberaanvallen (20% of all cyberattacks in 2020). Als we naar drie van de bovenvermelde platforms kijken, zien we een trend: apps die ontworpen zijn voor werk, worden door veelvuldig gebruik omgevormd tot platforms voor sociale communicatie.

Het gemak van hybride leven beveiligen

Microsoft Teams, in 2017 gelanceerd, is de snelstgroeiende app van Microsoft en een onmisbare communicatietool. Het aantal Teams-gebruikers is tussen 2020 en 2021 bijna verdubbeld. In 2022 waren ze 270 miljoen, de meesten van hen tussen 35 en 54 jaar. Teams is zijn zakelijke opzet voorbij en wordt veel gebruikt in het onderwijs. Het heeft een plek in ons leven ingenomen.

Het is een handige optie onder de communicatie-apps, maar het is niet zonder risico's. In 2021 werd een kwetsbaarheid in Teams ontdekt waardoor kwaadwillende insiders mails, Teams-berichten en OneDrive- en SharePoint-bestanden konden stelen. In augustus 2022 werd een post-exploit-mogelijkheid ontdekt omdat Teams toegangstokens in leesbare tekst op schijf opsloeg, waardoor ze gemakkelijker te stelen waren als een aanvaller erin slaagde een computer te compromitteren. Deze zwakke punten laten zien dat cloudgebaseerde oplossingen gevoeliger zijn voor aanvallen dan lokale oplossingen en een speciale laag cloudgebaseerde bescherming nodig hebben.

Cybersecurity voor de hybride werkplek:

The hybrid workplace: What does it mean for cybersecurity?
Protecting the hybrid workplace through Zero Trust security
Tackling the insider threat to the new hybrid workplace
Why cloud security is the key to unlocking value from hybrid working
Examining threats to device security in the hybrid workplace

Een andere cloudgebaseerde oplossing voor videoconferencing, die de afgelopen jaren een begrip werd, is Zoom. Dit peer-to-peer softwareplatform kende een enorme groei tijdens de pandemie. Het leek de perfecte optie, omdat men geen account nodig heeft om een evenement bij te wonen. Bovendien heeft het ook een gratis versie met beperkte functionaliteiten.

Het wijdverbreide gebruik van Zoom trok ook de aandacht van talloze hackers zodat het sinds 2020 heel wat aanvallen kende. Bij de aanvang van de pandemie werden meer dan 500 miljoen gebruikersnamen en wachtwoorden gelekt. Een van de meest ernstige lekken was die van het account van Boris Johnson, de voormalige Britse premier. Voor Zoom was het voorjaar van 2020 een beveiligingsramp (security disaster).

Daar bleef het echter niet bij. Het Project Zero-team van Google onthulde een bufferoverflow en een kwetsbaarheid voor informatielekken, waardoor hackers Zoom-vergaderingen konden volgen. Deze werden gevolgd door meldingen van phishing- en social engineering-scams, waarbij phishing de belangrijkste vector was voor cyberaanvallen en het verspreiden van malware.

Het Project Zero-team van Google (Google’s Project Zero team) heeft een bufferoverloop en kwetsbaarheid voor informatielekken onthuld, waardoor hackers Zoom-vergaderingen kunnen volgen. Deze lekken werden gevolgd door meldingen van phishing- en social engineering-scams. Phishing is de belangrijkste vector voor cyberaanvallen en de verspreiding van malware.

De risico's van succes

Slack, dat beweert de behoefte aan mails met 32% en vergaderingen met 27% te verminderen, is ook het slachtoffer van zijn succes. Met dit instant messaging-platform kan men spraakoproepen en videochats maken en berichten en multimediabestanden verzenden in privéchats of binnen een community. Deze app claimt meer dan 12 miljoen dagelijkse gebruikers en is compatibel met de belangrijkste besturingssystemen. Naar schatting gebruikt een gemiddelde gebruiker de app minstens 10 uur per week (10 hours a week). Het wordt door meer dan 100.000 organisaties wereldwijd gebruikt en biedt een betaalde versie aan, Slack Connect, met beveiligde berichtenfunctionaliteit die door meer dan 10.000 organisaties wordt gebruikt.

Maar Slack heeft ook zijn kwetsbaarheden en risico's. Een recentere kwetsbaarheid, gemeld in 2019, stelde aanvallers in staat een kwetsbaarheid in Slack Desktop voor Windows te misbruiken om te wijzigen waar bestanden, die via een Slack-kanaal werden verzonden, gedownload werden. Dit maakte het mogelijk om malware te injecteren in de bestanden of ze te stelen. Dit is niet het eerste beveiligingsprobleem, want in 2015 werden al grote gebreken ontdekt. Een van de meest opvallende nadelen is de open community-functie, waardoor grote groepen mensen met elkaar verbinding kunnen maken. Net als e-mail is Slack een vector geworden voor phishing en spam.

Laatste opmerkingen

Dit zijn enkele van de beveiligingsproblemen die van invloed zijn op Teams, Zoom en Slack. Ook al werden ze gecorrigeerd, zijn deze problemen nog steeds van belang.  De hybride werkplek is doordrenkt met de kracht van mutatie. Deze zakelijke apps evolueerden tot platforms voor sociale communicatie, met een nieuwe vector van beveiligings- en privacyrisico's.

Deze platforms hebben werk aan de winkel. Maar zij staan er niet alleen voor. Ze vertegenwoordigen een kracht en apps zoals Facebook, Telegram en Bumble zijn een andere kracht. Oorspronkelijk waren het sociale apps, maar ze kregen een nieuwe bestemming voor zakelijke gebruik, wat zowel succes als nieuwe cyberrisico's met zich meebrengt.

 

Met meerdere cloud-aangedreven apps werd een drempel overschreden - een die ons naar een nieuwe dimensie brengt - voor onze manier van werken, socialiseren en spelen. We zijn niet enkel passieve toeschouwers, maar actieve deelnemers die onze eigen gemeenschappen creëren en de vormen van anderen beïnvloeden. Ontsnappen aan dit hybride leven is  niet denkbaar, misschien is er maar één optie: moedig … maar voorzichtig vooruit gaan.

Tekst naar een artikel uit het rapport “Cybersecurity Trends 2023: Securing our hybrid lives”