Pourquoi les attaques par bourrage d’identifiants peuvent être le prochain cauchemar de votre entreprise

Microsoft Office 365 reste une cible attractive pour les cybercriminels alors qu’il continue d’être utilisé par des entreprises du monde entier. La sophistication croissante des outils d’IA a encouragé les acteurs malveillants à répéter l’histoire des attaques par bourrage d’identifiants. En 2019, Microsoft a révélé que plus de 1,5 million d’e-mails malveillants et de spam avaient été envoyés depuis des milliers de comptes Office 365 compromis de leurs clients.

En décembre 2022, les utilisateurs de Norton ont été mis en alerte maximale en raison d’une attaque par bourrage d’identifiants. L’application de sécurité a été compromise, entraînant la fermeture d’environ 925 000 comptes. Une augmentation suspecte des tentatives de connexion des utilisateurs de Norton Password Manager a déclenché la fermeture. Après enquête, il a été révélé que les cybercriminels avaient réussi à pirater « des milliers de comptes », mettant en danger les informations personnelles de nombreux utilisateurs. Alors, de quoi devons-nous nous préparer en 2023 pour protéger nos comptes contre ce type de cybercriminalité ?

Les mécanismes des attaques par bourrage d'identifiants

Les attaques par bourrage d'identifiants représentent 34 % de toutes les tentatives de connexion, les acteurs malveillants s'efforçant de pirater les comptes utilisateurs. Mais comment fonctionne ce processus, et quelles mesures peuvent contrer ces campagnes ?

Le bourrage d'identifiants est une méthode d'attaque informatique courante où les acteurs de la menace utilisent des logiciels automatisés pour tester rapidement des identifiants de connexion volés sur divers comptes en ligne. Le processus implique :

1. L'achat ou le téléchargement d'une liste de noms d'utilisateur et de mots de passe sur le dark web, généralement disponibles après une violation de données.

2. La mise en place de bots automatisés pour tenter de se connecter à plusieurs comptes utilisateurs, souvent en contournant la détection en masquant leurs adresses IP.

3. L'accès aux comptes lorsque les bots trouvent une correspondance permet aux attaquants de voler des informations personnelles telles que les numéros de carte de crédit ou les numéros de sécurité sociale.

4. La surveillance des bots alors qu'ils essaient des combinaisons de mots de passe réussies sur d'autres comptes. Puisque 65 % des personnes utilisent le même mot de passe pour plusieurs comptes, il y a une forte probabilité de compromettre plusieurs comptes avec la même paire d'identifiants.

Bourrage d'identifiants vs. attaques par force brute

Le bourrage d'identifiants et les attaques par force brute sont deux méthodes distinctes de cyberattaques. Dans le bourrage d'identifiants, les attaquants utilisent des données de mots de passe divulguées ou volées de vrais comptes pour tenter de se connecter. À l'inverse, les attaques par force brute consistent à deviner des mots de passe couramment utilisés et des dictionnaires de phrases de passe courantes.

Les acteurs de la menace par bourrage d'identifiants savent qu'ils possèdent de véritables identifiants et n'ont qu'à trouver un compte correspondant. En revanche, ceux qui tentent des attaques par force brute manquent de contexte concernant les bons identifiants de leurs cibles, ce qui rend ces attaques dépendantes de la chance aveugle ou de mots de passe faciles à deviner. Malgré cela, étant un jeu de nombres, le bourrage d'identifiants peut être très rentable grâce à l'automatisation.

L'impact du bourrage d'identifiants

Les victimes des attaques par bourrage d'identifiants risquent le vol de données sensibles, des dommages à leur réputation financière et un vol d'identité potentiel. Les conséquences de telles attaques incluent :

1. Comptes compromis : Les acteurs de la menace pourraient installer des logiciels espions, voler ou détruire des données, ou se faire passer pour le titulaire du compte pour envoyer du spam ou lancer des attaques de hameçonnage sur d'autres cibles.

2. Fuites de données : Les attaquants visent souvent des institutions financières ou des cibles gouvernementales à haute valeur, vendant les données volées sur des marchés en ligne illicites aux voleurs d'identité et aux gangs à motivation politique.

3. Verrouillages de compte : Un nombre excessif de tentatives de connexion échouées pourrait déclencher le système de sécurité de votre compte pour vous en exclure, perturbant potentiellement votre activité ou limitant l'accès à des comptes cruciaux comme l'e-mail ou la banque.

4. Exigences de rançon : Des groupes de piratage parrainés par des États pourraient prendre le contrôle d'une installation d'infrastructure critique ou d'une grande entreprise pour exiger le paiement d'une rançon.

5. Augmentation des risques de cybersécurité : Les identifiants utilisateurs volés peuvent être utilisés pour de futures attaques, mettant les victimes et toutes les parties étroitement associées à un risque accru après la violation initiale.

6. Impact négatif sur la réputation de l'entreprise : Une violation de données peut considérablement éroder la confiance des consommateurs. Lorsque des milliers ou des millions d'utilisateurs perçoivent une menace pour leurs données privées, cela peut coûter à une entreprise sur le marché boursier. Le coût moyen d'une violation de données en 2022 était de 4,35 millions de dollars.

Exemples récents de bourrage d'identifiants

• Grande entreprise d'habillement pour les activités de plein air, juillet 2022 : Des cybercriminels ont utilisé le bourrage d'identifiants pour cibler cette entreprise d'habillement de plein air, compromettant près de 200 000 comptes clients et exposant des détails tels que les noms, les numéros de téléphone, le sexe, l'historique d'achat, les adresses de facturation et les points de fidélité.

• Grande entreprise de traitement des paiements, décembre 2022 : Cette attaque a touché près de 35 000 comptes utilisateurs, exposant les noms, les numéros de sécurité sociale et les numéros d'identification fiscale, bien qu'aucune transaction non autorisée n'ait été signalée.

• Chaîne de restauration rapide prominente, janvier 2023 : La chaîne de restauration rapide a confirmé une violation qui a accédé à plus de 71 000 comptes clients. Les acteurs de la menace ont mené une attaque par bourrage d'identifiants pendant plusieurs mois, obtenant l'accès aux soldes de récompense des clients, potentiellement aux adresses physiques et aux quatre derniers chiffres des cartes de crédit des clients.

Contremesures contre les attaques par bourrage d'identifiants

Le secteur financier a connu une augmentation significative des attaques par bourrage d'identifiants, avec une croissance de 45 % en glissement annuel rapportée en 2022. À mesure que les entreprises se développent et attirent une base d'utilisateurs plus large, elles deviennent des cibles de plus en plus attractives pour les cybercriminels. Pour combattre cette menace croissante, les équipes de sécurité peuvent mettre en œuvre plusieurs contremesures.

La mise en œuvre de l'authentification multifacteur (MFA) peut fournir une couche de sécurité supplémentaire, rendant plus difficile pour les acteurs de la menace d'obtenir un accès non autorisé aux comptes. Malgré les récentes violations subies par certains gestionnaires de mots de passe populaires, ces outils restent une pierre angulaire de la sécurité numérique moderne et doivent être utilisés.

Promouvoir de meilleures pratiques de mot de passe est crucial. Les équipes de sécurité devraient adopter une position proactive pour éliminer la réutilisation des mots de passe, décourager le partage de codes et conseiller de ne pas écrire les informations de connexion sur du papier. Ces mesures peuvent réduire considérablement la probabilité d'attaques internes.

Les acteurs malveillants peuvent constituer une armée de bots automatisés

Des chercheurs en sécurité de Microsoft ont découvert une campagne de phishing à grande échelle qui utilise des techniques de proxy HTTPS pour pirater des comptes Office 365. L'attaque est capable de contourner l'authentification multifacteur (MFA) et a ciblé plus de 10 000 organisations depuis septembre 2021.

Une surveillance cohérente des tentatives de connexion peut aider à identifier et à contrer les activités frauduleuses. Si un pic soudain de tentatives de connexion ou des modèles inhabituels est détecté, l'équipe de sécurité peut bloquer l'adresse IP associée et alerter les utilisateurs légitimes de la tentative de piratage.

Un autre mécanisme défensif efficace est la limitation du débit (rate-limiting). Cette stratégie empêche les bots malveillants d'effectuer des tentatives de connexion excessives rapidement, ralentissant efficacement la progression des attaques automatisées.

Surveiller le dark web peut permettre aux équipes de sécurité de rester une longueur d'avance sur les cybermenées émergentes. En surveillant les collections de noms d'utilisateur et de mots de passe disponibles sur le dark web, les vulnérabilités peuvent être renforcées avant qu'une attaque ne se produise.

Les équipes de sécurité ont la responsabilité de protéger et d'éduquer les utilisateurs. Les acteurs malveillants peuvent constituer une armée de bots automatisés qui exécutent des milliers ou des millions de demandes de connexion frauduleuses chaque jour. Pour combattre cette menace croissante, les utilisateurs doivent être encouragés à adopter de bonnes pratiques de mot de passe et à utiliser des gestionnaires de mots de passe fiables. Cependant, la responsabilité principale de la protection des données incombe aux équipes de sécurité des sites web et aux fournisseurs d'applications. Une approche multifacette combine un contrôle d'accès robuste, la surveillance des menaces et des garde-fous de limitation du débit pour perturber le cycle d'attaque et tenir les acteurs de la menace à distance. En fin de compte, la défense la plus puissante est construite sur l'éducation et la promotion d'une culture de la sécurité.

Microsoft recommande que les organisations mettent en place des politiques pour surveiller les règles de la boîte de réception qui pourraient avoir des objectifs suspects ou pour déclencher des alertes en cas de quantités inhabituelles d’événements d’accès au courrier provenant d’adresses IP ou d’appareils non fiables.