Actus & Humeur

p. 06 Évolutions récentes de PHP : les nouveautés des 15 dernières années

Outils & Système

p. 18 Y a une panne de secteurs !

Kernel & Bas niveau

p. 28 Compilez efficacement vos énormes projets avec CMake et Ninja

IoT & Embarqué

p. 36 Reprenez le contrôle ! Ajoutez un environnement graphique à votre GNU/Linux sur smartphone

Libs & Modules

p. 48 Automatiser les tâches de conception de circuits imprimés : greffons pour KiCAD et FreeCAD
p. 60 Memoization : quel est l’intérêt de la mise en cache ?

Sécurité & Vulnérabilité

p. 70 Sécurisation d’un serveur NGINX

Mais où s’arrêteront les spammeurs ? Certains d’entre vous ont peut-être vu apparaître comme par enchantement des pubs dans leur agenda Google. Le premier réflexe est de se dire qu’il n’y a rien d’anormal, après tout c’est Google et la pub vient nécessairement de chez eux après analyse de nos mails. Mais lorsque l’on s’intéresse au libellé de l’événement, « You Have Won IPhone X Max From AppleStore »,  suivi d’un lien, là on se dit que ça ressemble quand même bigrement à du phishing. On découvre donc là une nouvelle technique de spam utilisant une fonctionnalité légitime de Google permettant d’ajouter une invitation à un événement et à l’intégrer dans un agenda en y ajoutant un rappel.

Première chose à faire : désactiver cette fonctionnalité au plus vite ! Les agendas sont configurés par défaut pour accepter ces invitations. Pour « annihiler » ce mécanisme, il faut aller dans Paramètres > Paramètres des événements > Événements ajoutés à partir de Gmail et décocher Ajouter automatiquement dans mon agenda les événements issus de Gmail ou alors il faut abandonner Google Agenda pour passer à Framagenda ou autres, à vous d’établir la balance du pour et du contre.

Avant de changer de service d'agenda, sachez tout de même que d'autres solutions sont également ciblées puisque j'ai pu observer le même comportement sur un calendrier d'iPhone. Il semble donc que ce phénomène tend à se généraliser sur de multiples plateformes. En termes de logiciel je n’ai pu tester réellement que le cas de Google Agenda, mais Google Drive, Google Analytics, Google Photos et Google Forms seraient également la cible de tels spams. Comme toujours, j’ai beaucoup de mal à comprendre comment de telles campagnes peuvent engendrer des gains pour leurs auteurs et comment des gens qui emploient les outils numériques arrivent à se laisser piéger aussi bêtement, après des années d’expérience de spams et de tentatives de phishing. Il faut reconnaître qu'une fois que l'on a été ciblé, l'agenda n'est plus guère utilisable donc soit l'utilisateur parvient à supprimer les messages frauduleux, soit il n'utilise plus son agenda et dans les deux cas l'objectif du spammeur (vol d'informations personnelles ou d'argent) ne sera pas atteint.

Du coup, des fonctionnalités que l'on pensait réservées aux mails apparaissent dans de nombreux services et il est par exemple possible de déclarer un événement comme étant du spam. J'en reviens alors à ma question de départ : mais où s'arrêteront les spammeurs ? Les services proposant de la diffusion de musique comme Deezer, Amazon Music ou autres vont-ils bientôt être eux aussi la cible de spammeurs et diffuser des messages frauduleux ? Ou verrons-nous dans le futur du spam intégré dans les flux vidéos de nos séries préférées ? Tant que la tentative de phishing n'est pas réalisée de manière intelligente en ciblant les personnes visées, quel que soit le média il sera facile de ne pas tomber dans le panneau. Par contre, si vous n'avez jamais été victime d'une « attaque » sur votre agenda et que le premier événement ajouté à votre agenda est forgé intelligemment, vous risquez fort de vous laisser prendre… Pensez donc à toujours désactiver les fonctionnalités qui ne requièrent pas votre approbation, quel que soit le service utilisé.

Pour lire votre GNU/Linux Magazine, pas besoin d'autorisations spécifiques à valider ou à désactiver… alors bonne lecture !

Tristan Colombo