Cyber attaque de Free : on connaît le fin mot de l’histoire

Je me disais bien. La plupart des attaques ne passent pas par une faille du matériel, mais plutôt de l’humain.

Le social engineering a encore de beaux jours devant lui !

C’est incroyable que malgré tout le tapage qui est fait sur le « ne donner a personnes vos mots de passe » partout, tout le temps, inlassablement, répété encore et encore, des gens qui travail dans le domaine des IT/Télécom les donnes !!!?
Dans ma boite, tout les p*t**n d’année, nous avons une formation sur la sécurité informatique… TOUT LES ANS !!! moi qui m’en plaignez, je comprend mieux pourquoi ça revient tout les ans maintenant, par contre ils font quoi chez Free ?

C’est dû au fait que les structures sont souvent trop compliquées.
Quand quelqu’un a besoin d’un accès c’est général tout de suite, s’il faut passer par un responsable qui va contacter la DSI ça peut prendre des jours pendant lesquels la personne ne pourra pas travailler car ça ne se limite pas à créer un compte Windows, il faut souvent monter tout un environnement, si jamais il y a un problème car un détail important a été oublié, ça va reprendre encore des jours.
Il y en a aussi qui font expirer les mots de passe ou même les comptes s’ils ne sont pas utilisés sur une longue période ce qui implique pareil des complications.

C’est pour cela que les identifiants sont échangés en entreprise.

Ça me rassure du fait que maintenant on sait que le réseau est sécurisé, mais en même temps free ne semble avoir mis les moyens dans la formation ou la sensibilisation du personnel.

J’avais bien dit que ce hacker était un gros nul et que c’était aussi un inside job !

cherchez mes com.

visiblement ils ne sont pas au top sur l’ ISO 27001…

C’est justement pour éviter de donner à n’importe qui des droits qu’il n’est pas censé avoir qu’il y a ces procédures… Les supprimer ne réglerait donc strictement rien.

Le problème c’est plutôt bien souvent un manque d’anticipation de la part du management. Un nouvel employé arrive rarement du jour au lendemain, donc on si le manager anticipe bien les demandes de création de comptes, même s’il y a quelques jours de délai, les comptes peuvent être prêts quand la personne arrive.

J’ai pu bien constater ça dans une entreprise où j’ai été 2 fois nouvel arrivant avec 2 managers différents. Avec le premier, mon PC était prêt, avec tous mes accès, le jour où je suis arrivé. Le deuxième il a demandé le PC la veille (du coup, pas là le jour J, le temps qu’il soit livré…) et les accès le jour de mon arrivée. Forcément y avait rien de prêt… Et dans les deux cas j’ai pu constater la même chose avec ceux arrivés après moi dans l’équipe, donc c’était pas des aléas passagers, juste un manager qui était pas à sa place.

Idem, dans ma boîte j’ai aussi une f*cking formation en cyber sécurité tout les ans et comme toi, je comprends mieux pk maintenant

C’est pas étonnant quand on voit les outils, prestataires et procédures qui changent tous les 4 matins en entreprise. En plus il y a toute une gamme de façon de faire en fonction des outils pour la gestion des mots de passe (du plus crade envoyé en clair par quelqu’un, au plus sécure).
Quand on est habitué à avoir affaire à des situations inhabituelles, c’est pas surprenant que statistiquement une partie des employés tombent dans le panneau.

Pour les emails de phishing ça commence à renter grâce à une grosse alerte quand un email vient de l’externe et des entraînements piège tous les mois…