Reprise du message précédent :

Surtout quand il y a eu un peu de recherche et que la facture ressemble comme deux gouttes d'eau à une facture qu'on a l'habitude de recevoir...

Quand t'as moyen de gagner mass de pognon, surement sans trop t'emmerder, forcément tu dois avoir du monde qui se fout dedans.
Il y a déjà des tipiaks qui ont été choppés pour des cryptos?

Ouais professionnalisation du "secteur" ça rapporte gros, meilleur ciblage, meilleurs résultats.
Pi ils ont arrêter les devs indien, kindly.

Vu qu'on frole le sujet.
Il y a quelques mois ça parlait ici même de framework ou solutions pour faire du test de phishing en interne.
Est-ce que quelqu'un a encore des noms en tête ?

J'en parlais cette semaine et autant ces derniers temps le gros qui se font bouffer passent dans les journaux, autant (et je touche du bois, je ne tiens pas a ce que la merdre revienne ), au niveau tpe/pme c'est plus calme.

Ouep, il y a des pirates qui ont hackés un fournisseur du gouvernement anglais pour intégrer un mineur de crypto dans les sites officiels.
https://www.google.com/amp/s/www.zd [...] g-malware/

difficile d'expliquer la nuance aux non informaticiens que c'est pas parce que "ca a l'air de marcher" qu'il faut pas quand même remettre de l'argent

 
En fait le plus gros problème c'est d'expliquer a quelqu'un qui n'y connais rien, les risques a faire du bricolage, sans qu'il est l'impression que tu as juste envie de lui faire sortir le chequier.
 
Et en sécurité j'ai l'impression que certains se font plaisir.
Mais dans le fond, c'est valable hors informatique, la peur est un moyen efficace de vendre.
 

 
Et le convaincre de sortir le chéquier pour se protéger d'un problème hypothétique qui surviendra potentiellement l'année prochaine (quand il aura changé de cogip depuis longtemps), alors que son N+1 lui demande des résultats à l'horizon du trimestre

Ouais enfin quand tu vois le taux de bullshit et le fait que globalement aucun éditeur ou fournisseur de solution de sécu ne s'engage sur un résultat, et bien ça devient simplement de "l'assurantiel".

D'ailleurs les "assurances cyber" se vendent comme des petits pains.

Dans les clauses, en gros tu dois te prémunir ou être garanti par un tiers (lol) de tout risque. Comme ça quand il y a problème, et bien l'assurance ne marchera jamais.

Pléonasme à vrai dire.

 
Ca c'est autre chose, on sort de l'informatique.
C'est la vision courtermiste de certains.
 
Et quand tu vois les 10 dernieres années d'intel ( ca marche, on vire la r&d, puis quand amd est de retour .... ben merde on a viré la r&d) tu sens bien que le truc est vraiment ancré dans la société actuelle.

comment tu expliques a un gros ponte
- le concept de qualité de code
 
ensuite que quelque part si tu veux que ton code soit de qualité, il te faut des développeurs heureux et bien payés et considérés, et si possible en interne pour pas les changer tous les 3 ans.
 
pour le chef ignare, soit ça marche, si ça marche pas tu corrige le probleme et ça remarche.

 
Un éditeur de sécu ne peut rien garantir sans avoir recours a une assurance en backup pour la simple et bonne raison que rien n'est infaillible.

En même temps un éditeur ou fournisseur de solution de sécu qui s'engage sur un résultat, faut être naïf pour y croire. Rien que la négligence de quelqu'un d'assez haut placé dans la cogip ou le département IT peut compromettre un SI, y'a pas de solution préfabriquée à ça.

 
C'est applicable à n'importe quelle tache.
 
Pour côtoyer les patrons quotidiennement depuis 20 ans : ils s'en tapent pas mal, ils sont *supérieurs* et les cadres/professions intermédiaires sont là pour ça. Eux ils font de la *stratégie* et du *développement* tu vois. Bon, parfois efficacement. Parfois.
 
Le salarié ne sera jamais rien qu'une ressource, qui s'échange et se traite en fonction du rapport offre/demande.

 
C'est pour ça que c'est intrinsèquement un cercle un peu vicieux et la porte ouverte à un peu tout et n'importe quoi.
 
D'ailleurs j'ai envoyé un petit jeune de plus cet aprem faire de la cybersécu. Je me sens sale

 
 
Par la dette technique. Une fois que tu as compris ce concept ca roule.
Mais je te l'accorde certains ne veulent pas comprendre.
 
Comme en conception de bagnole, si tu torche la conception avec du vite fait, mal fait, ça fait des campagnes de rappels, et donc des grosse pertes.

 
Enfin pour les assurances cyber souscrites par mes clients, je te laisse deviner à qui on vient réclamer les garanties pensant qu'elles sont dues et automatiques ?    
 
Ça a le mérite de reclarifier un peu le périmètre quand le client l'a oublié.
 
Allez, 2 ans à tirer pile poile encore  

pour nous c'est naturel; on sait identifier un guignol qui se la raconte en info et qui bite queudalle.
mais l'ignorant en informatique (c'est pas sa faute) il a aucun critère pour distinguer le mytho du bon
déja qu'un artisan qui fait des travaux chez toi, c'est difficile de percevoir le vrai du faux
imagine pour des choses purement logiques et intellectuelles
 
la réalité c'est que pour certaines boites/PME a mon avis le cout de la sécurité informatique "moderne" devient réellement significatif par rapport au budget habituel, et c'est la ou ça coince
 
faut vraiment etre un tres grosse boite pour te payer une équipe sécu compétente, parce que le budget global it est important

 
Surtout quand c'est donc juste "opposable" pour s'assurer en risque de perte d'exploitation, personne ne voulant rien garantir.
 
Tiens ça donne quoi d'ailleurs ces histoires cyber dans les polices d'assurances des RC Pro et des couvertures en risques de pertes d'exploitation déjà souscrites ? J'imagine que c'est exclu implicitement ?

 
J'ai eu un beau contre exemple.
On a eu un tech il n'y a pas longtemps, a l'entendre il rentrai ou il voulait et il arrivait a être crédible.
Pour qu'au final on se rende conte qu'il n'arrivait pas a faire voler le mot de passe d'un compte local windows alors qu'on lui avait filé tous les outils pour le faire.

Reformule  

Gophish

Le tech en question crackait le wifi des voisins.
Rentrait dans l'ad comme il voulait.
Avait hacké des distributeur divers.
Bref, au debut l'illusion etait bien faite.
 
On l'envoi a 100km pour un compte local windows dont le client a perdu le mot de passe.
Avec un disque bootable avec ubcd, offline Nt pass editor, etc...
Bref ce qu'il faut.
 
Il nous ramène le PC.      
Alors qu'en 2 min avec ubcd en faisant validant tous les choix par defaut le mot de passe saute.  

Phishing. 80% des crypto dernièrement.

Autant l'afnor ça me fait ni chaud ni froid mais les fzdp qui s'attaquent aux hôpitaux ça me fait rager  

 
  Merci

 
Les hopitaux, tu sais que le temps joue contre eux.
 
Même si je suis d'accord avec toi il faudrait en choper un et l'humilier en place publique pour l'exemple.

Oui malheureusement pour les hosto. Quand je vois les mecs et les nanas rincés pour cause de Covid, payés 35h au lance pierre quand ils en font 75 effectives et qu'ils bouffent ça derrière...

On a fait une campagne de phishing interne avec un crypto dont le loader était désactivé, le cert est devenu fou quand il a vu les stats de clic...

Je pensais plus à ceux qui font du rançongiciel.

c'est surtout que les hopitaux loin de se dire que le mec le plus important de l'hopital c'est l'admin sys et son équipe, et pas les chirurgiens qui arrivent en porsche cayenne
 
en Banque et Finance, bah le coeur de métier ça reste la banquet et la finance, mais c'est intégré également que l'IT est absolument essentielle a tout ça et stratégique, et les effectifs sont conséquents
Goldman Sachs est suffisement lucide pour s'appeler "a tech company"

 
La banque, sont fond de commerce c'est la data.
Tu prends le darwinisme de base : si elle ne l'a pas compris elle est morte.
 
L'hôpital c'est different, l'it c'est un fournisseur de services, comme un autre.
T'as pas de pc, t'es dans la merde.
Mais c'est valables pour les médicaments, masques, équipements, etc...

996 4S ici

(faut que ça soit un peu vintage tu vois)

Et Cayman S pour ceux qui s'en foutent.

Un crypto locker codé avec Windev chiffrerai 478 fois plus vite à votre avis ?

Ca marcherai pas .. la pj serait trop grosse pour un mail...

L'idée de génie !!!

Facile. Une photo de femme a poil du catalogue windev dans le mail, un lien vers le cryptolocker et t'as 9 sur 10 qui vont cliquez sur le lien http ://www.fzerfekeg.com/packde478femmesnues.exe. MALIN.

Alors pour y être, comment dire  

Pas vraiment. Les métiers bancaires restent persuadés que seuls leurs métiers sont nobles et qu'ils ont pas besoin d'infos...

Enfin ça c'est pour les pécores, heureusement qu'en haut lieu ils sont plus réceptifs.

 
En même temps, si ta sécurité repose sur tes users, t'es quand même mal.
 
Ca fait des années qu'on a mis des whitelists en place un peu serrées (via applocker + av), on n'a plus une seule alerte virale depuis. On a évidemment d'autres systèmes de défense au cas où mais en première instance, c'est quand même pas si lourd à mettre en oeuvre et ça tue l'essentiel du débat concernant les cryptolockers.
 
Expliquer aux utilisateurs qu'il faut faire attention là où ils clickent, ça donne un résultat nettement plus aléatoire (même si il faut le faire un peu aussi)

 
T’as qui que ce soit en info qui s’engage à 100% ? Dans l’infra, le dev, la sécu ? Zéro faille zéro erreur zéro downtime ?  
 
J’interviens quasi exclusivement en RI pour les cyber assurances et de ce que j’en vois elles casquent, même carrément bien : couverture à 100% de premières 72h de forensique, couverture à 100% de l’accompagnement au retour vers un service nominal, de plus en plus elles étendent vers un accompagnement au renforcement, au moins sur la partie conseil.

 
Testé et approuvé la semaine dernière avec GoFish.
Mail envoyé a une cogip depuis un domaine bien bullshit. - avec un lien ressemblant à l’ADFS. entreprise.Tech (au lieu de .com).
Le site avec une jolie SSL lestenceypt. Qui sécurise son domaine avec le champ DNS CA ?    
 
2500 users
- 750 ouverture du mails dans l’heure.  
- 200 mot de passe AD dumpé.
- Winner : Le chef comptable. Ouverture et password récupère dans les 20 sec après envoie du mail    
 
Le plus drôle, c’est pas l’antispam Microsoft, ou le deuxième antispam cloud vendu un bras par un éditeur Fr ou l’av local du poste ou le firewall nextgen qui as finis par bloque, c’est Google qui as rapidement identifié la page comme malveillante...    

Personne s'engage.

Tout le monde le réclame. Les mecs m'usent au quotidien à considérer que c'est un fait acquis. TOUS. Ça *SAOULE*.

Par contre de leur coté s'engager même sans cela à payer dans les délais prévus, tu peux te brosser.

2 ans pile poil de toute façon à tirer encore  

Vu la différence d'âge entre ton client RDP Windows 7 et ton serveur RDS ça ne m'étonne pas du tout. A la rigueur, si ton client était plus récent que ton serveur pourquoi pas. Mais tu n'auras pas de compatibilité ou de support dans le sens inverse.