Empêcher les scripts cachés d'exposer les données utilisateurExposing User Data

Nous utilisons des modèles de langage open source auto-hébergés sur notre propre infrastructure cloud. De nombreuses solutions utilisent des API de grands fournisseurs d'IA, mais le problème de cette approche est que les données peuvent être utilisées pour l'entraînement. Vous n'avez aucun contrôle là-dessus. Avec l'architecture adoptée par cside, il n'y a aucune possibilité de fuite de données. Nous gardons le contrôle sur l'ensemble du flux de données.

Les attaques côté client se produisent lorsque du code malveillant est caché dans des scripts récupérés côté client. Ces scripts peuvent voler des informations sensibles des utilisateurs directement depuis leurs navigateurs au moment où ils les saisissent. Contournant complètement les contrôles de sécurité sur le stockage des données. Souvent, ces attaques ciblent des données facilement revendables comme les informations de carte de paiement ou les identifiants de connexion et les jetons de session. Dans le contexte de la conformité à la vie privée, l'accent est mis davantage sur l'accès accidentel aux données personnelles. De nombreux outils marketing collectent plus de données que vous ne le pensez. Un exemple récent de cela était l'incident de Kaiser Permanente (https://cside.com/blog/kaiser-permanente-data-leak-a-case-of-miscommunication-and-inadequate-disclosure).

Les scripts provenant de sources externes peuvent devenir malveillants de plusieurs façons. Parfois, des scripts légitimes sont mis à jour avec du code malveillant en raison d'un incident de chaîne d'approvisionnement du côté de l'hébergeur du script. Le ver npm mini Shai-Hulud de 2026 a montré comment la compromission d'un paquet npm crée un effet boule de neige de vol d'identifiants à travers tout l'arbre de dépendances. Parfois, l'infrastructure est compromise. Parfois, un acteur malveillant parvient à prendre le contrôle d'un script. Cependant, la méthode d'injection la plus courante est un compte compromis soit chez un fournisseur de scripts tiers, soit dans un conteneur Google Tag Manager. La partie la plus difficile pour détecter ces scripts malveillants est qu'ils sont souvent servis dynamiquement et n'injectent le contenu malveillant que dans certaines circonstances. Évitant ainsi la détection par les équipes de sécurité et les scanners périodiques.

Cside offre une expérience de tableau de bord de confidentialité propre qui couvre les contrôles de confidentialité dans leur ensemble. Mais par cadre réglementaire, GDPR, CCPA et autres lois au niveau des états américains, nous fournissons des tableaux de bord spécifiques qui répondent aux exigences explicites une par une.

Lorsqu'un script devient malveillant, tenter d'empêcher l'action malveillante est une chose dangereuse à faire. Avec cside, nous avons donc opté pour une approche alternative. Vous pouvez revenir à un hash sûr précédent de ce script pour gagner du temps afin de traiter le problème de sécurité sans causer de temps d'arrêt critique.

C'est difficile à dire, mais le coût moyen d'une violation de données est de 4,44 millions de dollars selon le rapport 2023 d'IBM sur la sécurité. Historiquement, les attaques côté client ont été plus coûteuses en raison des amendes réglementaires et de la perte de confiance des clients. Un bon exemple de cela a été l'incident de British Airways et l'incident de Kaiser Permanent. Les deux ont causé des coûts juridiques importants, des amendes et des règlements.

Cside utilise un moteur de détection construit en interne utilisant une gamme de couches pour détecter les comportements malveillants et les changements dans les scripts. Nous ne croyons pas que l'intelligence des flux de menaces statiques soit la voie à suivre pour traiter une menace de sécurité dynamique. Nous réutilisons les données des détections pour améliorer les futurs systèmes de détection et pour notre propre service de scanner. Afin que nous détections plus de comportements malveillants que les outils construits sur des flux de menaces publiquement exposés ou couramment utilisés.