Protéger les appels comme les courriers électroniques

Il y a un an, la France via l’ARCEP annonçait des mesures contre le contrôle de l’identité d’appelant téléphonique. Le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) se donne encore neuf mois pour contrer les faux appels en imposant le STIR/SHAKEN.

Mai 2018, l’Europe et la France se lance dans la grande aventure du Règlement Général des Données Personnelles (RGPD). Dans la foulée, l’Arcep mettait en place une consultation publique concernant son projet de modernisation du plan de numérotation. La mission de PMPN: mettre au gout du jour le cadre relatif à l’attribution et à l’utilisation des ressources en numérotation. Le but étant de protéger les utilisateurs contre les fraudes et abus téléphoniques. 18 mois plus tard, jamais les Français n’ont reçu autant de faux appels pour des produits malveillants tels que : investir dans les cryptomonnaies ; rénover son logement pour 1€ …

Au Canada, les opérateurs ont jusqu’en septembre 2020

Le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) a lancé, début décembre 2019, sa proposition d’imposer aux opérateurs les nouvelles normes appelées STIR/SHAKEN.

Le Secure Telephony Identity Revisited [STIR] est une nouvelle approche de la sécurité de l’identité de l’appelant. La Signature-based Handling of Asserted information using toKENs [SHAKEN] est le traitement de l’information fournie en fonction de la signature au moyen de jetons.

Bilan, cette norme, comme pour une boîte mail sécurisée (exemple avec l’hébergeur mail français PowerMail.fr), doit permettre de contrôler et connaître qui se cache derrière un numéro de téléphone.

Il faut dire aussi que le Canada est une cible « merveilleuse » pour les pirates. Pour en avoir été témoin, la méthode est super efficace. Les intervenants pirates usurpent, par exemple, l’administration fiscale. Ils collectent par téléphone des informations ultra sensibles, comme le numéro NAS (Numéro de Sécurité Sociale). Ce numéro est un sésame qui ouvre des possibilités multiples, dont l’ouverture d’un compte en banque, au pirate qui pourrait le collecter. « Les Canadiens ne devraient jamais fournir de renseignements personnels (comme des renseignements bancaires ou des numéros d’assurance sociale) par téléphone sans d’abord vérifier si la demande est légitime. » comme le rappel le CRTC.

Bref, une lutte sans fin. Qui vise les particuliers, comme les entreprises, petites où grandes. Ces normes seront-elles des mesures efficaces ? Seront-elles aussi efficace que les protections existantes pour protéger sa boîte mail et son contenu ? Offrant une solution complète de messagerie ? A suivre !

Mails, téléphones et usurpations, même combat !

De nombreuses PME passent par des agence web qui proposent, dans leurs contrats, l’hébergement des messageries. Dangereux ! Qui protège le partenaire ? Trop de prestataires ne sont pas spécialisés. Bilan, les aspects techniques, de cyber sécurité sont souvent mis à l’as! Passer par de gros prestataires comme Gmail, Microsoft … des solutions certes « sexy »… mais il faut alors accepter que certaines de ses données passent par l’étranger. Le RGPD est censé protéger les contenus, les clients, … Mais avez-vous pensé à toutes les pistes de « fuites ». Bilan, il existe quelques acteurs 100% français qui maîtrisent leur sujet, un exemple parmi ces acteurs : l’hébergeur mail français PowerMail.fr. Service fiable et proche des utilisateurs.

Tester son identité SPF

Dans les nombreuses possibilités de malveillance par mail, l’usurpation est un élément important ! Comme le rappel Wikipedia, le protocole Simple Mail Transfer Protocol (SMTP) ne prévoit pas de mécanisme de vérification de l’expéditeur lors du transfert du courrier électronique. Envoyer un courrier avec une adresse d’expéditeur factice est un jeu d’enfant.

Le SPF va permettre de réduire les possibilités d’usurpation en publiant, dans le DNS, un enregistrement indiquant quelles adresses IP sont autorisées ou interdites à envoyer du courrier pour le domaine considéré. Une information qui appartient à l’enveloppe du courrier, pas à ses en-têtes. Bilan, si vous recevez un courriel aux noms d’une entreprise, vous êtes certains que l’entreprise est bien derrière ce courriel.