Les articles de Sécurité

L’email au centre de la jungle juridique

Le mois dernier, deux faits relevés par la presse en ligne démontraient, encore une fois, le retard pris par les législations sur l’encadrement des nouvelles technologies. Encadrement que le milieu professionnel se voit dans l’obligation d’effectuer, parfois à la hâte et non sans heurt.

Le premier exemple nous vient des Etats-Unis où, pour une sombre histoire d’envois de menaces de mort par email envers Paul Myers, professeur d’université au blog polémique, la personne en charge du poste informatique depuis lequel aurait été envoyé ces menaces s’est vue licenciée par sa direction. L’histoire pourrait paraître anecdotique si ce n’est que Melanie Kroll, l’employée licenciée, affirme n’avoir jamais envoyé ces mails de menace à Paul Myers.

En réalité, il s’est avéré par la suite que le coupable était son compagnon, Chuck Kroll. Celui-ci a d’ailleurs rédigé une lettre dans laquelle il avoue sa culpabilité, s’excusant auprès du professeur en biologie et se déclarant consterné par la tournure prise par les événements.

L’explication fournie serait que Chuck, en utilisant l’ordinateur de sa femme, se serait servi du système de messagerie installé et paramétré, par défaut, avec le compte mail professionnel de Melanie.

Toujours est-il que pour la communauté des lecteurs du blog de Paul Myers, Melanie Kroll a payé bien cher la négligence d’avoir laissé à disposition sa boîte mail professionnelle. Cette communauté a même pris l’initiative de lancer une pétition en faveur du réengagement de Melanie Kroll chez son employeur.

Le deuxième exemple prend cette fois-ci pour cadre la France. L’affaire qui a occupé le tribunal de grande instance de Quimper, à la mi-juillet, avait pour origine un échange d’email entre un chef de service et l’un des agents de l’ancien directeur des services de la ville de Douarnenez, Gil Schmitt.

Ce qui rend l’affaire délicate tient au sujet du mail échangé. En effet, l’agent en question a dévoilé ses opinions en usant du système de réponse automatique à partir d’un mail professionnel…

D’où la difficulté du tribunal à définir si ce mail tient d’une correspondance privée ou s’il reste attaché à son caractère professionnel d’origine et, donc, consultable et utilisable par la hiérachie. Ce que n’avait justement pas manqué de faire Gil Schmitt, en incluant le contenu de ce mail dans un dossier disciplinaire visant son agent.

A l’issu du procès, le TGI de Quimper a finalement retenu la culpabilité de Gil Schmitt. Lequel a décidé de faire appel de cette décision.

Ces cas témoignent, qu’aujourd’hui encore, des efforts sont à fournir tant d’un côté que de l’autre pour éviter les erreurs ou les décisions hâtives.

D’un côté, nombre de salariés négligent ou ne connaissent tout bonnement pas les règles de sécurité élémentaires, propres à une utilisation correcte des nouvelles technologies. De l’autre, en l’absence d’un cadre législatif clairement défini, certaines entreprises se voient appliquer des règles particulièrement strictes, aux sanctions parfois exagérées.

Ajoutons à cela, un manque d’uniformisation de ces règles à l’international et l’on comprend vite que le domaine informatique se retrouve alors dans une jungle juridique qui mettra vraisemblablement encore du temps à se débroussailler.

Thunderbird toujours plus sûr

Le célèbre client de messagerie Open Source de la Fondation Mozilla se voit passer en version 2.0.0.16 et vient combler 8 failles de sécurité, jugées peu critiques par ces développeurs. Pour autant, la mise-à-jour reste chaudement recommandée compte tenu du fait que certaines des corrections ont pour but d’empêcher l’exécution à distance de codes malicieux.

Cette mise-à-jour mineure du client lourd intervient à quelques mois de la sortie de Thunderbird 3, prochaine version majeure du logiciel, avec l’intégration d’un agenda issu du fameux plug-in de calendrier, Ligthning, utilisé avec Thunderbird 2.

Cette version 3, dont la première beta est attendue pour l’automne, concrétisera les premiers efforts du projet Mozilla Messaging qui, à l’image de la dernière version 3 du navigateur Firefox, ambitionne de renouveler profondément le client de messagerie et le rapport de l’utilisateur avec ses emails.

Un nouveau spammeur défait par MySpace

MySpace, le site communautaire du groupe NewsCorp, vient encore de gagner un procès pour une affaire d’envoi massif de spam à travers son réseau social.

Rappelons en effet qu’il y a tout juste un mois, le site s’enorgueillait d’avoir remporté une bataille juridique contre deux spammeurs dont l’issue fut pour eux la condamnation à l’amende la plus élevée jamais adressée contre des spammeurs, soit 234 millions de dollars (voir aussi notre article : Venir un jour à bout du spam… une utopie ? ).

La nouvelle victime de la “répression anti-spam” est en fait un récidiviste puisqu’il s’agit de Scott Richter, CEO de Media Breakaway, société anciennement connue sous le nom d’OptInRealBig et obligée, en 2006, à verser 7 millions de dollars à Microsoft (dans un arrangement à l’amiable plutôt que dans un procès où la société, déjà endettée, risquait une amende de 50M$), toujours pour des pratiques d’envois de spam illégaux.

Bien que Media Breakaway se félicite de n’avoir été condamnée à payer que 5% de la somme initialement requise par MySpace, la société a décidé de ne pas faire appel de la décision prise par le tribunal du Colorado.

Les salariés anglais peu vigilants quant aux emails reçus

Silicon.fr nous rapporte une enquête réalisée par Websense, l’éditeur en solutions de filtrages Web, selon laquelle 31% des salariés anglais estiment normal qu’une protection seulement partielle soit appliquée à leurs courriers électroniques.

Mais certaines données révélées font montre d’un manque d’information grave sur l’ensemble des personnes interrogées par Websense. Ainsi, alors qu’elles sont 26% à ne pas savoir si leur boîte dispose d’une protection anti-spam et 18% à ignorer être protégées contre le phishing, elles sont malgré tout 33% à ouvrir des emails d’expéditeurs inconnus et 22% à avouer cliquer sur les liens qu’ils contiennent !

Des chiffres qui s’expliquent aussi par le fait qu’elles sont 67% à estimer que la sécurité entourant leurs boîtes mail ne relève que de la seule responsabilité du Service Informatique de leur entreprise. Or, les méthodes modernes de récupération de données personnelles, comme le phishing, ont justement pour objectif de se camoufler à travers l’utilisation que nous faisons de l’informatique au quotidien, pour ne se rendre dépendantes que des comportements d’utilisateurs mal informés. Par conséquent, quelles que soient en général les protections employées par les Services Informatiques (souvent jugées trop restrictives par les utilisateurs) pour sécuriser les outils des employés, leurs efforts peuvent être rapidement réduits à néant, notamment du fait d’un manque d’information de la part des salariés sur l’évolution des techniques de spam et d’infection par mail.

Les risques n’étant pas seulement grands pour le poste informatique du salarié mais aussi pour l’entreprise, avec la probabilité de voir certaines données confidentielles récupérées, nul doute qu’il faille s’attendre à voir les boîtes mails de plus en plus contrôlées en milieu professionnel.

Les botnets européens ravissent la première place aux USA ?

D’après un récent rapport émis par l’éditeur Symantec, l’Europe, en tant que zone géographique, serait passée devant l’Amérique du Nord pour la proportion de spam envoyés à travers Internet. Cette proportion aurait atteint pratiquement les 44% de spam émis depuis le Vieux Continent, contre près de 35% pour l’Amérique du Nord.

L’inquiétude des spécialistes en sécurité tient notamment au fait que ce changement se serait produit en très peu de temps, sur les mois de décembre 2007 à février 2008. Bien que cette nouvelle position de l’Europe ne modifie pas en réalité la masse globale de spam émis sur Internet, ce changement serait dû en majeure partie à l’invasion de bots (ou logiciels robots émetteurs de spam) sur les PC allemands et italiens.

En effet, selon une récente étude menée sur une période similaire par l’éditeur d’anti-virus G DATA, affirmant que 43% des bots mondiaux viennent d’Europe, l’Allemagne et l’Italie cumuleraient à elles seules 20% des PC européens infectés par ces bots. Une fois installés frauduleusement sur les disques durs, ces bots transforment les machines en “PC Zombies”, eux-mêmes émetteurs de spam. Les bots s’échangent, au travers de ce qu’on appelle un botnet, les données personnelles de l’utilisateur et les adresses mails de ses contacts pour augmenter leur base de diffusion.

Cette augmentation de la diffusion de bots en Europe serait une conséquence de la progression des offres haut débit. La France, quant à elle, se trouverait relativement protégée du phénomène des botnets avec seulement 2% de bots installés sur le parc de machines sondées par G DATA.

Venir un jour à bout du spam… une utopie ?

En tout cas, voici un élément de réponse avec la publication de ce nouvel article. Réagissez via notre système de commentaires, nos rédacteurs vous répondront.

A quoi bon lutter ? Depuis maintenant des années, nous, modestes utilisateurs et victimes du spam, ne faisons que nous défendre devant ce qui est aujourd’hui reconnu comme le premier fléau d’Internet. Les logiciels existent, les solutions intégrées se répandent, les Webmails se protègent, mais tout n’est fait que dans le but de résister à l’inévitable attaque du spammeur. Alors est-il possible de l’attaquer, lui ?

Suite de l’article : Venir un jour à bout du spam… une utopie ?