Selon Tech Crunch<\/a>, le tableau de bord “permettait \u00e0 quiconque d’afficher les noms, num\u00e9ros de t\u00e9l\u00e9phone, adresses e-mail et autorisations d’acc\u00e8s”. Bien que l’on puisse affirmer que ces informations sont n\u00e9cessaires pour que Wiseasy g\u00e8re les terminaux au nom de ses clients, Tech Crunch poursuit en disant qu’une vue du tableau de bord a r\u00e9v\u00e9l\u00e9 le nom Wi-Fi et le mot de passe en texte brut pour le r\u00e9seau sur lequel le terminal de paiement \u00e9tait connect\u00e9 \u00e0. <\/p>\nDans un environnement de s\u00e9curit\u00e9 standard, l’interface ne doit jamais \u00eatre con\u00e7ue pour afficher des mots de passe. L’affichage ouvert des informations client, sans v\u00e9rification secondaire de l’utilisateur final, va \u00e9galement \u00e0 l’encontre d’une politique de confiance z\u00e9ro.<\/p>\n
2 – Les informations d’identification seules ne suffiront pas <\/h4>\n
Une deuxi\u00e8me erreur qui a probablement aid\u00e9 le piratage \u00e0 r\u00e9ussir \u00e9tait que Wiseasy n’exigeait pas l’utilisation d’une authentification multifacteur lors de l’acc\u00e8s au tableau de bord. Dans le pass\u00e9, la plupart des syst\u00e8mes \u00e9taient prot\u00e9g\u00e9s uniquement par des identifiants d’authentification. Cela signifiait que toute personne ayant acc\u00e8s \u00e0 un nom d’utilisateur et \u00e0 un mot de passe valides pouvait se connecter, m\u00eame si les informations d’identification \u00e9taient vol\u00e9es (comme ce fut le cas dans le piratage Wiseasy).<\/p>\n
L’authentification multifacteur oblige les utilisateurs \u00e0 utiliser un m\u00e9canisme suppl\u00e9mentaire pour prouver leur identit\u00e9 avant d’acc\u00e9der aux ressources sensibles. Souvent, cela signifie fournir un code qui a \u00e9t\u00e9 envoy\u00e9 au smartphone de l’utilisateur par SMS, mais il existe de nombreuses autres formes d’authentification multifactorielle. Dans tous les cas, Wiseasy n’a pas utilis\u00e9 l’authentification multifacteur, rien n’emp\u00eachait les pirates de se connecter en utilisant des informations d’identification vol\u00e9es. <\/p>\n
3 \u2014 Les appareils doivent \u00eatre v\u00e9rifi\u00e9s trois fois <\/h4>\n
Une troisi\u00e8me erreur possible aurait pu \u00eatre celle des employ\u00e9s de Wiseasy acc\u00e9dant \u00e0 des ressources sensibles \u00e0 partir d’un appareil non renforc\u00e9. Tech Crunch a rapport\u00e9 avoir vu des captures d’\u00e9cran du tableau de bord Wiseasy dans lesquelles un utilisateur administrateur avait acc\u00e8s \u00e0 distance aux terminaux de paiement. L’article de Tech Crunch ne dit pas que l’ordinateur de l’administrateur a \u00e9t\u00e9 infect\u00e9 par un logiciel malveillant, mais comme un logiciel malveillant a \u00e9t\u00e9 utilis\u00e9 pour acc\u00e9der au tableau de bord et que la capture d’\u00e9cran montre un administrateur connect\u00e9 au tableau de bord, il est tout \u00e0 fait possible que la machine d’un administrateur ait \u00e9t\u00e9 compromise. . <\/p>\n
En tant que meilleure pratique, les comptes privil\u00e9gi\u00e9s ne doivent \u00eatre utilis\u00e9s que lorsqu’ils sont requis pour une t\u00e2che particuli\u00e8re (les comptes standard \u00e9tant utilis\u00e9s \u00e0 d’autres moments). De plus, les comptes privil\u00e9gi\u00e9s devraient id\u00e9alement \u00eatre utilis\u00e9s uniquement sur des syst\u00e8mes de gestion d\u00e9sign\u00e9s qui ont \u00e9t\u00e9 renforc\u00e9s et ne sont pas utilis\u00e9s pour d’autres t\u00e2ches.<\/p>\n
4 – Restez ma\u00eetre de votre propre s\u00e9curit\u00e9 <\/h4>\n
Enfin, la plus grosse erreur commise dans le piratage Wiseasy \u00e9tait que la soci\u00e9t\u00e9 apparemment (d’apr\u00e8s l’article de Tech Crunch) ne savait pas que ses comptes avaient \u00e9t\u00e9 compromis jusqu’\u00e0 ce qu’elle soit contact\u00e9e par Buguard. <\/p>\n
Buguard est une soci\u00e9t\u00e9 de s\u00e9curit\u00e9 sp\u00e9cialis\u00e9e dans les tests d’intrusion et la surveillance du dark web. Id\u00e9alement, Wiseasy surveillerait son propre r\u00e9seau \u00e0 la recherche d’une violation potentielle et l’arr\u00eaterait imm\u00e9diatement d\u00e8s qu’il serait remarqu\u00e9 pour la premi\u00e8re fois. <\/p>\n
Aller de l’avant\u00a0: comment prot\u00e9ger votre propre r\u00e9seau d’un piratage similaire<\/h2>\n
Le piratage Wiseasy souligne l’importance d’adh\u00e9rer aux meilleures pratiques de s\u00e9curit\u00e9 \u00e9tablies de longue date, telles que l’exigence d’une authentification multifacteur et l’utilisation de postes de travail de gestion d\u00e9di\u00e9s pour les op\u00e9rations privil\u00e9gi\u00e9es. L’adh\u00e9sion \u00e0 une philosophie de confiance z\u00e9ro dans votre organisation peut r\u00e9soudre bon nombre de ces probl\u00e8mes. <\/p>\n
De plus, il est important d’avoir un moyen de savoir si les comptes de votre organisation ont \u00e9t\u00e9 compromis. Sinon, un attaquant ayant obtenu l’acc\u00e8s aux informations d’identification de compte vol\u00e9es pourrait utiliser ces informations d’identification ind\u00e9finiment. L’un des meilleurs moyens d’\u00e9viter que cela ne se produise est d’utiliser la politique de mot de passe Specops. Specops maintient une base de donn\u00e9es de milliards de mots de passe dont on sait qu’ils ont \u00e9t\u00e9 compromis.<\/p>\n
Cette base de donn\u00e9es est tenue \u00e0 jour avec les mots de passe trouv\u00e9s sur les listes de mots de passe viol\u00e9s connus, ainsi que les mots de passe activement utilis\u00e9s dans les attaques. La politique de mot de passe Specops utilise ces informations pour s’assurer qu’aucun des mots de passe de vos utilisateurs n’a \u00e9t\u00e9 compromis. S’il s’av\u00e8re qu’un compte utilise un mot de passe compromis, le logiciel vous en informera afin que vous puissiez d\u00e9sactiver le compte ou modifier son mot de passe imm\u00e9diatement. Vous pouvez tester gratuitement, \u00e0 tout moment, les outils de politique de mot de passe Specops dans votre AD. <\/p>\n
Que vous installiez des tests d’intrusion en interne, que vous passiez \u00e0 une infrastructure de confiance z\u00e9ro ou que vous bloquiez les mots de passe connus viol\u00e9s de votre Active Directory, il existe de nombreuses fa\u00e7ons de vous assurer que votre organisation ne soit pas victime des cons\u00e9quences d’un logiciel malveillant. attaque comme Wiseasy. <\/p>\n
<\/p>\n<\/div>\n
\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Le mois dernier, Tech Crunch a rapport\u00e9 que Le fabricant de terminaux de paiement Wiseasy avait \u00e9t\u00e9 pirat\u00e9. Bien que Wiseasy ne soit peut-\u00eatre pas bien connu en Am\u00e9rique du Nord, leurs terminaux de paiement bas\u00e9s sur Android sont largement utilis\u00e9s dans la r\u00e9gion Asie-Pacifique et les pirates ont r\u00e9ussi \u00e0 voler les mots de […]<\/p>\n","protected":false},"author":1,"featured_media":377443,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[4168,4158,4165,4161,20775,4157,4159,4171,4170,4167,4160,4163,4162,5666,140,10287,1835,4172,4169,60,4166,4164,110920],"class_list":["post-377442","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-informatique","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-piratage","tag-points","tag-retenir","tag-securite","tag-securite-informatique","tag-securite-internet","tag-sur","tag-violation-de-donnees","tag-vulnerabilite-logicielle","tag-wiseasy"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/377442","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=377442"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/377442\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/377443"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=377442"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=377442"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=377442"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}