La CNIL a publié, jeudi 10 février 2022, un article [1][2] annonçant la mise en demeure d’un gestionnaire de site web français vis-à-vis de l’utilisation de la solution Google Analytics du géant américain pour cause de transfert hors UE. Vous trouverez ci-dessous quelques informations pour comprendre la situation et conseiller vos clients pour accompagner leur mise en conformité.

Google Analytics

Google Analytics est un outil de mesure d’audience de site Web et un des leaders dans le domaine avec plus de 80% des parts de marché dans le monde.

Pour fonctionner, l’outil envoie certaines données à caractère personnel (DCP) vers les serveurs de Google localisés aux Etats-Unis [3] :

Processor Service	Types of Personal Data
Google Analytics	Online identifiers, including cookie identifiers, internet protocol addresses and device identifiers; client identifiers
Google Analytics 360	Online identifiers, including cookie identifiers, internet protocol addresses and device identifiers; client identifiers
Google Analytics for Firebase	Online identifiers, including cookie identifiers, internet protocol addresses and device identifiers; client identifiers

Transfert de données

Jusqu’en 2020, ce transfert était encadré par le EU-US Privacy Shield [4] qui autorisait les échanges de DCP entre les deux continents. Or, le 16 juillet 2020, la cour de justice de l’Union Européenne (CJUE) a mis fin à cet accord avec l’arrêt Schrems II, jugeant qu’il ne fournissait pas de protection suffisante vis-à-vis de la réglementation européenne de protection des données (RGPD).

Depuis, Google a mis en place des clauses contractuelles types (CCT) [5] avec ses clients pour :

• Garantir un niveau de protection suffisant des données
• Légaliser le transfert des DCP aux Etats-Unis
• Permettre l’utilisation de son service par ses clients

Note : les CCT sont des modèles de contrats de transfert de données personnelles adoptés par la Commission européenne pour transférer des données vers un pays tiers (ex : Etats-Unis) [6]

Législation américaine

Or, dans son article [2], la CNIL précise qu’en tant que fournisseur de communications électroniques, Google est sujet à l’article 702 de la loi américaine sur les renseignements (FAA) [7]. Google a par conséquent l’obligation, dans le cadre de la loi FAA, de fournir au gouvernement américain des données personnelles indépendamment du contenu des clauses CCT, ce qui n’est pas conforme au RGPD.

Aussi, les mesures supplémentaires (notamment techniques) mises en place par Google sont jugées insuffisantes par la CNIL pour protéger les données DCP contre de tels accès.

Par ailleurs, il n’existe aucun moyen technique d’empêcher le transfert des données DCP vers les Etats-Unis : l’outil ne le permettant pas.

Cela explique la mise en demeure de la CNIL et la non-conformité vis-à-vis du RGPD de l’utilisation du service Google Analytics.

Réponses européennes

L’actuelle mise en demeure concerne un gestionnaire de site Web français. Comme le précise l’article, d’autres actions sont en cours au niveau européen pour faire suite aux plaintes déposées par l’association viennoise NOYB [8].

Nous pouvons donc nous attendre à des décisions similaires dans les prochaines semaines par les autorités de contrôle européennes. En effet, la CNIL est d’ores et déjà en train de s’intéresser aux plaintes portées à l’encontre de sociétés françaises de Retail, équipementier sportif, parfumerie.  

Solutions

En l’état actuel des choses, c’est-à-dire sans changement des lois de renseignement américaines et sans modification rapide des mesures de protection mises en place par Google, nous recommandons à nos clients, d’identifier et mettre en œuvre des alternatives compatibles avec leurs usages.

Dans un autre article [9] publié le 23 septembre 2021, la CNIL propose des alternatives pour faire de la mesure d’audience des sites internet, qui présentent le double avantages d’être :

• Conforme au RGPD, c’est-à-dire sur le traitement des données à caractère personnel des utilisateurs
• Conforme à la directive européenne ePrivacy sur l’utilisation des cookies

En effet, pour chaque outil, la CNIL propose une configuration avec laquelle son utilisation serait exemptée de consentement.

Parmi ces outils figurent (entres autres) :

Alternatives gratuites	Alternatives payantes
Abla Analytics de Astra Porta	Analytics Suite Delta de AT Internet (français)
Piwik PRO Analytics Suite de Piwik PRO	SmartProfile de Net Solution Partner
Matomo Analytics de Matomo (open source)

Conclusion

Nous recommandons donc l’usage d’une des solutions alternatives proposées par la CNIL ou tout autre solution européenne dont les données seraient hébergées sur le continent. 

Par Albane Girollet – Consultante Governance, Risks & Compliance chez Almond

Antoine Hochenedel – Consultant Governance, Risks & Compliance chez Almond

Marine Adreit – Consultante Governance, Risks & Compliance chez Almond

Références

[1] https://www.cnil.fr/fr/utilisation-de-google-analytics-et-transferts-de-donnees-vers-les-etats-unis-la-cnil-met-en-demeure

[2] https://www.cnil.fr/sites/default/files/atoms/files/med_google_analytics_anonymisee.pdf

[3] https://privacy.google.com/businesses/adsservices/

[4] https://fr.wikipedia.org/wiki/Bouclier_de_protection_des_donn%C3%A9es_UE-%C3%89tats-Unis

[5] https://www.google.com/analytics/terms/dpa/dataprocessingamendment_20200816.html

[6] https://www.cnil.fr/fr/transfert-de-donnees-les-clauses-contractuelles-types-cct-de-la-commission-europeenne

[7] https://en.wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act_of_1978_Amendments_Act_of_2008

[8] https://noyb.eu/fr/plaintes-concernant-les-virements-ue-usa

[9] https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience

Par Rebeca Rocha chez Altospam

Le spear phishing est une technique d’attaque ciblée par e-mail qui vise spécifiquement des individus. C’est une attaque qui découle du phishing ou hameçonnage, menace omniprésente pour les entreprises. Les cybercriminels profitent pour l’utiliser contre des solutions de communication indispensables comme Microsoft 365, présentes quotidiennement dans les organisations. L’objectif des pirates qui utilisent le spear phishing est de voler les identifiants d’un compte ou de répandre des malwares de plus en plus sophistiqués. Apprendre à discerner un e-mail de phishing peut prévenir d’une potentielle catastrophe.

Quelle est la différence entre le phishing et le spear phishing ?

Comme évoqué précédemment, le spear phishing découle du phishing. En d’autres termes, les deux attaques s’appuient sur une même base : l’usurpation d’identité. Le phishing est une attaque en masse, envoyée à un grand nombre de victimes, sans ciblage spécifique. Tandis que le spear phishing cible une personne bien précise, avec des informations recherchées au préalable, dans le but de tromper cette victime en étant le plus crédible possible par email.  En général, cela se déguise sous forme de demande urgente, de virements inattendus ou encore de cadeaux surprises.

Voici les attaques les plus récurrentes par phishing :

• Phishing classique,
• Phishing sophistiqué,
• Spear phishing,
• Attaques APT,
• Ingénierie sociale.

Comment identifier une attaque par hameçonnage ciblé ?

Pour reconnaître un email de phishing, spear phishing :

• Vérifiee l’adresse de l’expéditeur : les pirates ont tendance à utiliser des noms de domaines inhabituels, qui ressemblent à celles de sources légitimes, mais avec de légères modifications ou fautes de frappe. Par exemple, un domaine comme « exemplecompany.com » pourrait être falsifié en « examp1ecompany.com ».
• Analyser le contenu de l’email : Pour la plupart des attaques de spear phishing, les demandes paraissent urgentes ou alarmantes pour inciter les victimes à agir rapidement sans réfléchir. Attention aux emails pressant le destinataire d’agir immédiatement, surtout si cela contient des erreurs grammaticales, des informations sensibles ainsi que des liens et pièces jointes suspects.
• Vérifier la cohérence du message : Les attaques de spear phishing peuvent être hautement personnalisées, mais des erreurs peuvent survenir. Se méfier des emails qui semblent connaître certains de vos détails personnels, mais qui sont légèrement inexacts ou utilisent ces informations de manière maladroite.
• Sensibiliser et former ses collaborateurs : La sensibilisation et la formation régulières sur la sécurité peuvent grandement contribuer à identifier les tentatives de spear phishing. Les entreprises qui organisent des sessions de formation pour enseigner aux employés comment reconnaître et réagir face aux emails suspects ont moins de chance de tomber dans des pièges en ligne.

Pourquoi les cybercriminels usurpent l’identité de l’équipe Microsoft 365 ?

Microsoft est aujourd’hui l’entreprise la plus ciblée par les pirates informatiques. En effet, Microsoft Office 365 est utilisé par plus d’un million d’entreprises. Les utilisateurs de M365 représentent donc une cible particulièrement attrayante pour les cybercriminels à la recherche de données et de fichiers sensibles. Ce qui devient problématique pour les entreprises, particulièrement celles qui n’ont pas de ressources suffisantes pour investir dans des équipes ou logiciels de cybersécurité. L’email reste le principal vecteur de cyberattaques contre Microsoft Office 365.

Quelles sont les principales attaques menaces contre Microsoft 365 ?

Selon une étude d’IBM, les attaques par phishing représentent la deuxième cause des violations de données sensibles et pourtant la solution de Microsoft ne peut pas les contrer. Les attaques de spear-phishing (BEC) quant à elles, ont coûté aux entreprises en moyenne 4,89 millions de dollars en 2021, ce qui en fait le deuxième type de cyberattaque le plus coûteux dans le monde.

Il existe plusieurs techniques de spear phishing :

• Ingénierie sociale
• Whaling, pretexting
• Demandes urgentes
• Envoi d’emails via mobile, etc…

Ces attaques ont de réelles conséquences en entreprise, en pertes de données, pertes financières, mais surtout en baisse de réputation et malgré son avancée, l’anti spam M365 a des limites. Il n’est pas toujours capable de détecter l’ensemble de ces types de spear phishing. De plus, son filtrage antispam de base se nomme EOP (protection Exchange Online). Pour avoir un filtrage de meilleure qualité, vous devez souscrire à l’offre ATP (Advance Thread Protection).

Comment sécuriser sa messagerie contre les différents types de spear phishing ?

Combiner des solutions spécifiques avec Microsoft 365 peut être nécessaire et permet de renforcer sa messagerie et d’assurer une sécurité robuste à ses collaborateurs, utilisateurs d’Office 365. En effet, la défense contre le spear phishing commence par des mesures de sécurité de base, telles que l’activation de l’authentification multi-facteurs et l’implémentation de politiques de sécurité strictes. Cependant, pour une protection complète, les entreprises doivent aller au-delà et adopter des solutions spécialisées.

Combiner des solutions spécifiques  avec Microsoft 365 permet à l’entreprise de garantir :

• L’amélioration de la détection des menaces
• La réduction des faux positifs
• La protection contre le spear phishing
• La protection contre les programmes malveillants zero-day avec l’anti-malware
• La protection contre les attaques DDoS
• La protection contre les menaces émergentes
• Un PRA Inclus (Plan de Reprise d’Activité )
• Des rapports et statistiques accessibles sur l’interface Altospam

Enfin, les attaques par spear phishing sont aujourd’hui en hausse exponentielle. Pour éviter que l’entreprise ne soit l’une des victimes de ces attaques, il est nécessaire d’accorder de l’importance à ces 3 points : la sensibilisation des équipes, la mise en place d’une stratégie de sécurité informatique efficace, l’investissement dans un nouveau matériel et dans de nouvelles solutions plus performantes. L’avenir des attaques par phishing présente des défis,  avec une combinaison de sensibilisation au phishing et de technologies avancées, les entreprises peuvent renforcer leur sécurité et se prémunir contre les menaces émergentes.