Ma petite expérience avec ce genre de problèmatique. L'hébergeur (physique : ensicaen) de l'institution dans laquelle je travaille (laboratoire : umr6252) pour l'université de Caen en étant (probablement) employé par un ministère a décidé voici quelques années de sous-traiter son système informatique à mirosoft. Comme l'ensicaen impose à tous les personnels hébergés d'employer une adresse de courriel qu'elle fournie, nous recevons un message nous sommant de cliquer sur une url pour y recréer un compte. L'url renvoie sur une page d'un site en ...microsoft.com affichant fièrement les logos de l'ensicaen. Typique d'un cas de phishing. On y trouve deux boîtes de dialogue. L'une avec notre identifiant à l'ensicaen en nom.prenom, et l'autre demandant d'entrer son mot de passe employé pour les services de l'ensicaen. Autant dire que je n'ai pas donné suite.
En revanche, j'ai envoyé un courriel aux services numérique du premier ministre de l'époque pour interroger sur cette transformation. Ainsi que des demandes d'avis. Effet ou pas, le déploiement de la solution microsot s'est trouvé suspendu pendant un an. D'après les bruits de couloir ce qui avait été prévu s'était avéré illégal et il a fallu changer les dispositions d'hébergement des données.
Entre temps j'avais configuré mon adresse de courriel @ensicaen pour prévenir tous mes correspondants de ce que je ne revcevrais plus les messages envoyés.
Finalement, ce qui devait arriver arriva. L'ancienne boîte fut fermée, et la nouvelle pas vraiment ouverte : les messages y atterrissaient, mon avertissement n'était plus envoyé, et je ne pouvais bien entendu pas récupérer de messages. J'ai donc fait des scripts envoyant des données chiffrées par paquets de ~10MB dans la boîte ; dans l'idée qu'une fois remplie elle enverrait au moins à mes correspondants un message d'erreur. Peine perdue. Le puits était sans fond ; ou presque.
Environ un an plus tard, un délégué mirosoft de l'ensicaen m'appela pour me signaler que je n'avais pas transmis mes identifiants à leurs associés et que ma boîte contenait environ un teraoctet de messages. Il accepta de tout effacer et de me faire suivre mes courriels à l'avenir.
Ça dura environ un an. Les courriels ont à nouveau cessé de m'être transmis. Peut-être devrais-je à nouveau m'envoyer des données chiffrées ?
Revenons à l'affaire des CLUF et autres contrats avec des entités malveillantes : comme je n'accepte même pas de lire les fichiers qui me sont envoyés dans les formats privateurs (je les balance immédiatement à la corbeille), sauf sous la contrainte il sera délicat de m'en faire avaler (du CLUF).
# Phishing
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . En réponse au message Imposer aux salariés ou usagers de signer un contrat tiers ?. Évalué à 4.
Ma petite expérience avec ce genre de problèmatique. L'hébergeur (physique : ensicaen) de l'institution dans laquelle je travaille (laboratoire : umr6252) pour l'université de Caen en étant (probablement) employé par un ministère a décidé voici quelques années de sous-traiter son système informatique à mirosoft. Comme l'ensicaen impose à tous les personnels hébergés d'employer une adresse de courriel qu'elle fournie, nous recevons un message nous sommant de cliquer sur une url pour y recréer un compte. L'url renvoie sur une page d'un site en ...microsoft.com affichant fièrement les logos de l'ensicaen. Typique d'un cas de phishing. On y trouve deux boîtes de dialogue. L'une avec notre identifiant à l'ensicaen en nom.prenom, et l'autre demandant d'entrer son mot de passe employé pour les services de l'ensicaen. Autant dire que je n'ai pas donné suite.
En revanche, j'ai envoyé un courriel aux services numérique du premier ministre de l'époque pour interroger sur cette transformation. Ainsi que des demandes d'avis. Effet ou pas, le déploiement de la solution microsot s'est trouvé suspendu pendant un an. D'après les bruits de couloir ce qui avait été prévu s'était avéré illégal et il a fallu changer les dispositions d'hébergement des données.
Entre temps j'avais configuré mon adresse de courriel @ensicaen pour prévenir tous mes correspondants de ce que je ne revcevrais plus les messages envoyés.
Finalement, ce qui devait arriver arriva. L'ancienne boîte fut fermée, et la nouvelle pas vraiment ouverte : les messages y atterrissaient, mon avertissement n'était plus envoyé, et je ne pouvais bien entendu pas récupérer de messages. J'ai donc fait des scripts envoyant des données chiffrées par paquets de ~10MB dans la boîte ; dans l'idée qu'une fois remplie elle enverrait au moins à mes correspondants un message d'erreur. Peine perdue. Le puits était sans fond ; ou presque.
Environ un an plus tard, un délégué mirosoft de l'ensicaen m'appela pour me signaler que je n'avais pas transmis mes identifiants à leurs associés et que ma boîte contenait environ un teraoctet de messages. Il accepta de tout effacer et de me faire suivre mes courriels à l'avenir.
Ça dura environ un an. Les courriels ont à nouveau cessé de m'être transmis. Peut-être devrais-je à nouveau m'envoyer des données chiffrées ?
Revenons à l'affaire des CLUF et autres contrats avec des entités malveillantes : comme je n'accepte même pas de lire les fichiers qui me sont envoyés dans les formats privateurs (je les balance immédiatement à la corbeille), sauf sous la contrainte il sera délicat de m'en faire avaler (du CLUF).
En revanche, j'ai pu remarquer que les liens envoyés par mes collègues, contraints de leur plein gré à employer les outils microsot, étaient systématiquement espionnés. Mais qui en ce bas monde se préoccupe encore de légalité ?
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace