ça par contre c’est vrai j’ai eu aussi affaire à eux et il sont très très avenants de belle personne d’une politesse exquise et tellement prévenantes pour notre plus grand bien (ou plutôt pour nos plus grands biens)
2 « J'aime »
Ce sont surtout les clients de banque en ligne le plus ciblés.
Pas de conseillé attitré
Banque régulièrement injoignable
2 « J'aime »
Tout a fait, et on peut avoir des logiciels qui sont affectés indirectement par une faille d’une lib sans forcément qu’on soit au courant que le logiciel utilise la lib en question, à fortiori quand il a été linké dessus statiquement.
Petit à petit, il y a des choses qui se mettent en place (la législation européenne imposera notamment bientôt à tous les éditeurs de logiciels de fournir la SBOM de leurs logiciels, soit en gros une liste de toutes les composants utilisés, avec leur version), mais pour l’instant ça reste compliqué, surtout pour les petites entreprises qui n’ont pas forcément une personne qualifiée et avec suffisamment de temps pour gérer tout ça.
Et y a aussi des problèmes avec les différences de cycle de vie d’un logiciel à l’autre. Par exemple, y a encore plein de grands comptes qui utilisent Python 3.6.8, parce que c’est la version standard sous Red Hat 8. Python 3.6 n’est plus supporté par la PSF depuis 3 ans, mais c’est pas grave, Red Hat assure le support et backporte les patchs de sécurité plus récents dans son Python 3.6.8.
Sauf que c’est valable que pour le Python de base. Quand tu fais une appli qui a des dépendances, tu te retrouves à tirer des versions de ces dépendances qui ne sont plus supportées, parce que les versions encore supportées nécessitent par exemple au moins Python 3.8 ou 3.9. Ben oui, forcément, tous ceux qui créent des libs Python, ils ne se callent pas sur les cycles de vie de Red Hat, mais plutôt sur ceux de la PSF.
Et sur ces versions plus supportées, il peut donc y avoir des failles déjà connues, et pas forcément non plus d’alerte en cas de nouvelle faille, parce que plus personne ne s’occupe de les suivre… Du coup t’as beau avoir un OS encore supporté, un Python sécurisé avec des backports des tous derniers patchs, au final tu laisses quand même des trous béants, sans forcément t’en rendre compte (parce que même ceux qui font l’effort de vérifier un minimum leurs dépendances, ils vont souvent se limiter aux dépendances directes et négliger les dépendances indirectes…).
3 « J'aime »
Confiance en l’OS … mouhahaha : la grosse réflexion café du commerce ! 
Le mieux qu’on puisse faire est d’avoir un OS à jour vis à vis des CVE (du coup, on évite Windows et les distribs molles des genoux) et surtout de rester attentif face aux contacts douteux. Même les antivirus ne peuvent pas mieux faire par rapport à leur base de signature (qui souvent se mettent à jour APRES la publication des correctifs des OS les plus réactifs).
Ce n’est pas imparable, mais c’est toujours le moins pire.
Pour tout ce qui est librairies, dépendances etc … il n’y a pas beaucoup de solutions :
- Montée de version en urgence pour boucher les trous (et des fois ça veut dire réécriture partielle ou complète de l’appli)
- Mise en DMZ avec un monitoring des flux confié à un EDR en mode hardcore.
Face à ces situations où les recommandations / conseils ne sont que des actions en réaction, il convient de passer à l’étape suivante CàD l’anticipation. On monte les versions avec TOUTES les corrections de sécurité par défaut, même si cela doit avoir un impact sur les applis. Cela coûtera moins cher de monter de version que rattraper dans l’urgence des données ou des applis par les cheveux.
Mieux vaut choisir (les montées de version) que subir.
1 « J'aime »
ou mais un vpn aussi y’a aucun lien
Tout a fait. Et à fortiori quand c’est une faille 0 day. Par définition aucune anticipation n’est possible dans ce cas : au moment où la faille est rendue publique, elle est déjà exploitée.
Oui, mais de ce que je lis dans la presse, il ne s’agit pas toujours ni forcément de personnes âgées, il y a des personnes de tous âges et milieu social. 
1 « J'aime »
Il faut rester humble devant ce type de problème, tout le monde sera concerné un jour ou l’autre et dans ce cas ce n’est pas un problème technique mais humain. C’est comme les tests d’évacuation incendie on les prend à la rigolade mais le jour ou cela arrive on se marche dessus .
2 « J'aime »
Pas vu ^^
Heureusement que j’ai pas dit que c’était toujours des personnes âgés d’un seul milieu social.
1 « J'aime »
Alors il fallait ratisser plus large au niveau des exemples.
1 « J'aime »
Il serait bien de diffuser à la place de nos spots publicitaires des messages informatifs sur ce genre d’arnaque, ça aurait déjà UN PEU PLUS d’utilité…
On a déjà moultes façons d’être informé (mail, message lors de la connexion au compte etc…), mais à priori ça ne suffit pas.
1 « J'aime »
C’est exactement ce que j’ai fait, ça tombe bien…
1 « J'aime »