Archives pour la catégorie Mots de passe

Les mots de passe font souvent la une des actualités. Ils sont au coeur de notre quotidien. Tous nos accès, que ce soit privé ou pour le travaille, sont protégés par un mot de passe.

8 milliards de mots de passe en libre circulation : la plus grosse fuite de données de l’histoire de l’informatique

Ce fichier est intitulé « RockYou2021 ».

Selon les estimations des experts de la plateforme en ligne CyberNews, il pèse environ 100 Giga Octets. Il constitue ce qui peut être qualifié de la plus grosse fuite de données jamais observée de l’histoire d’Internet. Selon les auteurs de cette révélation, ce fichier comporterait 80 de milliards de mot de passe. C’est un ensemble de données de connexion qui ont été récoltés au fur et à mesure du temps. Particulièrement ces dernières années. Cette information a été en partie altérée par une équipe des informaticiens qui affirment que le fichier ne contiendrait que 8,4 milliards de mot de passe.

Cet article va aussi intéresser : Une fuite de données d’un méga-fichier pirate sur 1,2 milliard d’internautes

En faisant un rapprochement selon lequel 4,7 milliards de personnes à travers le monde utilisent Internet, qu’il y’a de chance que cette fuite massive de données de mots de passe implique l’entièreté de la population mondiale.

On rappelle qu’en février une fuite massive du même genre avait été observée Avec 3,2 milliards de mot de passe qui ont été pompés des comptes sociaux quelques Gmail, Hotmail, et LinkedIn.

Pour le moment on ne sait pas d’où provient exactement ces mots de passe. Cependant selon l’opérateur qui est à l’origine de la publication de ce fichier, les mots de passe comporterait entre 6 à 20 caractères complet sans espace. Face à la situation, les experts informatiques exposent clairement leur inquiétude face à la probabilité d’attaque imminente. Avec la qualité de ces données en circulation, le risque est plus qu’imminent.

Du côté de CyberNews, un programme de vérification de fuite de données personnelles a été déployé ainsi qu’un vérificateur destiné au mot de passe divulgué. Ce qui signifie que vous pouvez vérifier si vous êtes touchés ou non par le fichier « RockYou2021 », pour cela il vous suffit de vous rendre sur le site de la plate-forme américaine en ligne.

Par ailleurs il faudrait retenir que jusqu’au soir du 8 juin 2021, le fichier était toujours en ligne. Donc il est préférable pour vous de revoir vos mots de passe et de les changer si possible.

Il est aussi conseillé aux utilisateurs de faire attention aux messages suspects, aux spams et autres emails de provenance inconnue.

« Aujourd’hui est le jour pour changer tous vos mots de passe. Vous avez peut-être repoussé cela en pensant que vous n’êtes pas affecté. Vous l’êtes. Nous le sommes tous. Vous avez maintenant une excellente raison : protéger votre vie privée et vos biens. Tout et n’importe quoi sortira alors ne perdez pas de temps. Changez tous vos mots de passe immédiatement. Et assurez-vous qu’ils sont uniques et complexes ! », explique Saryu Nayyar, PDG de Gurucul, leader de la sécurité unifiée et de l’analyse des risques. La société fournit des modèles d’apprentissage automatique pour la détection d’anomalies en temps réel.

« C’est peut-être la plus grande violation de nom d’utilisateur/mot de passe de tous les temps, mais ce ne sera pas la dernière. L’interdiction des mots de passe n’est pas une solution à court terme à ce problème. Au lieu de cela, assurez-vous que les noms d’utilisateur/mots de passe ne suffisent pas à eux seuls pour accéder aux systèmes backend. L’ajout d’une exigence de facteurs appropriés et vérifiés de manière indépendante pour accéder à vos serveurs garantira que votre entreprise n’est pas affectée par des attaques de bourrage d’informations d’identification basées sur des violations. », souligne David Stewart PDG d’Approov.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

La journée mondiale du mot de passe vu par Kaspersky

Chaque année, le premier jeudi du mois de mai correspond à l’événement qui représente la journée mondiale du mot de passe.

Une occasion de mettre cartes sur table sur les différentes pratiques d’utilisation de ce mode de protection de connexion ainsi que l’hygiène en matière de sécurité informatique dans son ensemble. S’il est décrié de part et d’autre, nous ne pouvons nier que le mot de passe représente le principal mode de protection des connexions et de l’utilisation des services numériques.

Cet article va aussi vous intéresser : Journée mondiale du mot de passe : doit-on se débarrasser du mot de passe ?

Pour ce qui est de la sécurité des données personnelles, c’est une question qui est toujours d’actualité. En effet, l’utilisation massive des solutions numériques oblige l’internaute à laisser constamment des informations sur lui un peu partout sur les plateformes qu’il ‘utilisent. Selon une étude menée par DoubleVerify, le temps que passe une qui les acteurs au quotidien devant des contenus en ligne a littéralement doublé depuis la pandémie à coronavirus. Aujourd’hui et de 6 heures 59 minutes.

Selon une étude de Kaspersky nommé : « Consumer appetite versus action : The state of data privacy amid growing digital dependency » :

  • 31 % des personnes qui ont été interrogé affirme avoir fait l’expérience d’une intrusion dans leur appareil numérique ;
  • La moitié d’entre eux ont admit avoir subi des pertes financières ;
  • 28 % des utilisateurs affirme avoir été soit victime de piratage informatique ou de tentative d’intrusion en particulier au niveau des réseaux sociaux.

Face à toute cette réalité, la pertinence des mots de passe est pointé du doigt. Surtout quand on constate une montée en puissance de certaines pratiques d’authentification tel que la biométrique ou encore le double facteur. Face à cette situation, le chercheur en sécurité informatique, Ivan Kwiatkowski, affirme malgré tout que le mot de passe reste l’une des techniques le plus d’efficacité pour se protéger contre la cybermalveillance

« La multiplication des sites nécessitant un mot de passe a entrainé des travers, dus aux limites de la mémoire : comment se souvenir d’une grosse centaine (minimum) de codes secrets générés pour une multitude de services en ligne ? L’accélération des usages numériques a impliqué la modification des pratiques de sécurité et notamment de l’usage du mot de passe. Une fuite de données sur l’un des sites sur lesquels on dispose d’un compte, ou une attaque par force brute deviendront alors particulièrement graves si elles permettent à l’attaquant d’accéder à l’intégralité des comptes d’une victime. » note ce dernier.

« C’est là qu’intervient le besoin du mot de passe fort. Quand le mot de passe se retrouve dans la nature et qu’un individu malveillant souhaite se le procurer, le nombre et la variété de caractères impacteront le temps nécessaire au déchiffrage. Si l’attaquant parvient à découvrir le mot de passe original, un autre type d’attaque entre en jeu : le credential stuffing qui consiste à tester les identifiants et mots de passe sur de nombreux sites Internet. S’impose alors le mot de passe unique pour qu’une faille de sécurité n’ait d’impact que sur le site où il a été utilisé. », ajoute-il.

Même si plusieurs moyens de fortifications se développent, pourra-t-on pour autant condamner le mot de passe à une fin certaines.

« Non, même s’il il n’existe déjà plus dans sa forme initiale grâce à des outils très utiles : les gestionnaires de mot de passe qui existent sous forme open source, via des outils dédiés comme KeyPass, Mooltipass ou via des éditeurs (Kaspersky Password Manager par exemple). Ils génèrent des mots de passe complexes et les mémorisent. Aucune excuse pour ne pas en utiliser car certains de ces outils sont gratuits. La plupart de ces gestionnaires offrent la possibilité de synchroniser les données sur nos différents appareils. Parfaitement sécurisés, s’ils sont bien utilisés ces gestionnaires permettent de redorer le blason de ce premier rempart contre les compromissions de comptes : le mot de passe. Il ne nous reste plus qu’à retenir l’unique sésame d’entrée à l’outil et ensuite, laisser le gestionnaire de mots de passe faire tout le reste. », explique l’expert de Kaspersky.

Le mot de passe demeure essentiel. Peu importe ce qu’on dit, il serait littéralement difficile de s’en débarrasser. Car tous les modes alternatifs de sécurisation de compte présentent aussi leurs inconvénients.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Ramener les mots de passe dans nos habitudes de sécurité

Le 6 mai est considéré comme la journée mondiale du mot de passe.

Chaque année, cet événement est fêté pour rappeler à quel point la sécurité informatique telle que nous l’appréhendons aujourd’hui a été le fruit de longs cheminot. Le mot de passe est l’un des premiers systèmes à être développé pour protéger les connexions et les sessions. Aujourd’hui si la multiplication des cyberattaques fait douter de son efficacité, il n’en demeure pas moins que son utilisation reste essentielle.

Cet article va aussi vous intéresser : Attaque informatique contre SolarWinds : un stagiaire pointé du doigt pour fuite de mot de passe

Les mots de passe en soi ne sont pas un problème de sécurité. C’est plutôt les pratiques qui tourne autour qui les rends vulnérables. Un mot de passe solide peut-être fiable et protéger aucune donnée biométrique. Mais son appréhension n’est pas aussi simple que ce que les utilisateurs lambda le croient.

« Nombreux sont les utilisateurs qui définissent encore le même mot de passe pour l’ensemble de leurs comptes en ligne. Il s’agit d’une pratique très risquée, car une fois qu’un compte est compromis, l’attaquant a accès à une plus grande variété d’actifs. Au-delà de cette réutilisation, la définition de mots de passe évidents, comme par exemple 12345 ou azerty, le fait de ne pas les mettre à jour régulièrement, de les stocker à portée de l’ordinateur ou encore de les partager avec des tierces personnes constituent une voie royale pour les cybercriminels. Toutes ces mauvaises pratiques augmentent en effet le risque de violation pour une entreprise, car un attaquant peut plus facilement voler ou pirater ces mots de passe. Au regard de la croissance continue du nombre de cybermenaces, il est primordial de former les salariés, de les sensibiliser aux bonnes pratiques qui permettent une gestion efficace des identifiants et, surtout, d’ériger une première ligne de défense solide. », explique Pierre-Louis Lussan, Directeur Pays France et Europe du Sud-Ouest chez Netwrix.

« Une autre mesure importante consiste à utiliser une application logicielle de gestion de mots de passe qui génère puis récupère des informations d’identification complexes, et les stocke dans une base de données chiffrée. En outre, l’utilisation d’un outil d’expiration de mot de passe qui rappelle automatiquement aux utilisateurs de changer leurs identifiants avant leur expiration est également une solution efficace. Cela permet d’exiger des changements de combinaison réguliers sans pour autant surcharger le service IT d’appels pour réinitialiser les mots de passe expirés. », conseille notre expert.

Nous le savons aujourd’hui et cela est une évidence. Mal gérer les mots de passe peut avoir des conséquences très dramatiques. Cela est valable à la fois pour les entreprises mais aussi pour les particuliers. Les cybercriminels sont alors à l’affût et guette le moindre relâchement, la moindre négligence à ce niveau pour lancer une attaque informatique. C’est d’ailleurs pour cette raison que l’attention des responsables de sécurité de système d’information. « Si les professionnels de l’informatique ne parviennent pas à mettre à jour et à sécuriser les mots de passe de ces comptes à privilèges, les cybercriminels peuvent les pirater plus facilement et accéder au réseau de l’organisation. Ensuite, ils peuvent utiliser les informations d’identification d’administrateur compromises pour contourner les contrôles d’accès sur diverses ressources ou systèmes informatiques afin d’accéder à des données sensibles. », Pierre-Louis Lussan.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Le mot de passe « password » à la peau dure, même chez les Fortunes 500

Aujourd’hui la sensibilisation en matière de sécurité informatique se banalise de plus en plus excitant sur plusieurs plans.

D’une certaine manière on se rend compte que la cybersécurité devient quelque chose d’important aux yeux des entreprises mais aussi des particuliers.

Dans une étude récente, réalisé par la filiale de Nord Security, la société NordPass, spécialiste dans l’édition des programmes de gestionnaire de mot de passe, il a été mis en évidence dans le rapport qui a résulté de de cette recherche, que même les Fortunes 500 sont pris dans l’habitude d’utiliser des mots de passe très mal formuler.

Cet article va aussi vous intéresser : Identité numérique : protéger les entreprises à travers la sécurisation de l’identité

L’étude réalisée par la société éditrice de gestionnaire de mot de passe se fondent sur l’analyse de plusieurs données qui ont été durant plusieurs moment recueillis par des pirates informatiques, lors de plusieurs attaques informatiques.

Les entreprises concernées ont été répertoriées dans les catégories différentes de leur secteur d’activité. On part alors de la santé en passant par le commerce, de la télécommunication, les Finances, l’agriculture et même l’aéronautique.

À ce niveau l’entreprise a observé près de 15 603 438 violations

Dans presque toutes les catégories, les mêmes mots de passe reviennent à chaque fois. Des mots de passe qui pendant longtemps ont été déconseillé. « password » et « 123456 ».

Généralement les informations qui sont volés lors de ces attaques informatiques, sont des informations qui par la suite sur trouve exposé en ligne.

Malheureusement la négligence au niveau de l’utilisation des mots de passe très mal formulés est quelque chose de généralisé. Et cela même dans les entreprises 17h de l’IT.

« Pendant des années, les experts en cybersécurité ont recommandé d’utiliser un mot de passe complexe alphanumérique comprenant des caractères spéciaux et plusieurs casses. Il est également conseillé d’utiliser un mot de passe différent pour chacun des services utilisés. Toutefois, face à la limite de la mémoire humaine, les gestionnaires de mots de passe permettent de générer des combinaisons uniques ultra-sécurisées et que l’utilisateur n’a plus besoin de retenir grâce à un système de remplissage automatique. » explique NordPass dans son rapport.

De ce fait, on se demande comment faire pour se prémunir face à ce genre de conduite. Une chose est sûre, dans une organisation, il y aura toujours un collaborateur qui d’une certaine manière ou d’une autre, continuera à former ses mots de passe de la sorte. Il faudra donc composer avec en s’assurant que cela ne puisse pas se répercuter de manière trop aggravantes sur la société.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Attaque informatique contre SolarWinds : un stagiaire pointé du doigt pour fuite de mot de passe

Récemment, le PDG de la société texane SolarWinds a pointé du doigt un stagiaire, car celui-ci aurait favorisé de la fuite de mot de passe.

Même si d’une certaine manière aucun rapprochement n’a été fait entre cette fuite et l’attaque subie par la société américaine.

Cet article va aussi vous intéresser : SolarWinds renforce sa cybersécurité

À titre de rappel, notons que la cyberattaque qui a touché Orion, un logiciel fourni par la société SolarWinds, Piratage par lequel des cybercriminels ont réussi à avoir accès à des systèmes d’information de plusieurs entreprises, cliente de la société Texane. Le piratage, il faut le préciser a été qualifié de l’un des plus grave jamais connu de la décennie. Plusieurs grandes entreprises ont été touché de plein fouet à savoir, Microsoft ou encore l’éditeur de solution informatique FireEyes. Sans oublier des organismes de gouvernement des États-Unis dans l’agence du nucléaire.

Récemment il a été découvert quelque chose d’assez étonnant. Un mot de passe affilié à un des serveurs « solarwinds123 ».

La popularité de SolarWinds à été dû à un fait malencontreux. Pour ce qui concerne le mot de passe, l’erreur a été imputé un stagiaire.

 « J’ai un mot de passe plus fort que « solarwinds123 » pour empêcher mes enfants de trop regarder YouTube sur leur iPad », a signifié la représentante américaines Katie Porter. « Vous et votre entreprise étiez censés empêcher les Russes de lire les e-mails du ministère de la Défense ! »,

Dans un communiqué de presse de la commission parlementaire portant sur le contrôle et la réforme, l’ancien PDG de SolarWinds, Kevin Thompson déclare : « Ils ont violé notre politique en matière de mot de passe et ont publié ce mot de passe sur un compte interne, sur leur propre compte GitHub privé ».

Selon les informations fournies par la société, le problème avec ce mot de passe remonterait depuis 2018 voir encore plus loin. Selon le chercheur qui a découvert cette fuite de données, le mot de passe était déjà disponible depuis juin 2018 sur internet. Pourtant le problème a été résolu qu’en 2019. Selon les déclarations du PDG actuel de la société Texanne, cette faille de sécurité remonte à 2017. « Je crois que c’est un mot de passe qu’un stagiaire a utilisé sur un de ses serveurs GitHub en 2017, qui a été signalé à notre équipe de sécurité et a été immédiatement supprimé », a déclaré Sudhakar Ramakrishna, l’actuel PDG de SolarWinds.

L’enquête du gouvernement américain continue toujours pour apporter plus de lumière à cette affaire. Cependant, cette affaire pourrait prendre plusieurs mois. De son côté le PDG de l’entreprise a des sécurité FireEye, Kevin Mandia affirme qu’il ne sera jamais possible de déterminer l’ampleur de cette attaque informatique.

« Le résultat final : nous ne connaîtrons peut-être jamais l’étendue et l’ampleur des dégâts, et nous ne saurons peut-être jamais dans quelle mesure les informations volées profitent à un adversaire », a signifié Mandia. Cependant avec tout ce qui se passe, il est probable qu’on puisse accuser un simple stagiaire d’avoir été la cause de de celui-ci.

Pourtant, cette éventualité n’est pas vu par tout le monde de la même manière. En effet selon un chercheur Thaddeus E. Grugq, il n’est pas nécessaire pour des services de renseignement d’avoir franchement accès au mot de passe faible d’une victime pour accéder un système informatique. « Si c’est ce qu’ils utilisent, alors c’est ce qu’ils utilisent, mais ce n’est pas le facteur décisif pour l’opération ». Explique le chercheur. « La porte dérobée SolarWinds a été profondément intégrée dans le code, elle a été injectée pendant leur processus de construction, et il n’est pas possible que le serveur ayant un mot de passe faible ait été le facteur déterminant. Comme si les services secrets russes allaient abandonner s’il y avait un mot de passe fort à la place ! (…) Il n’y a pratiquement aucune chance que le mot de passe du serveur ait eu un quelconque rapport avec le piratage dans son ensemble ». Ajoute ce dernier.

En rapportant une citation présente dans le livre intitulé « Network Attacks and Exploitation: A Framework », Thaddeus E. Grugqde déclare : « L’infraction est régulièrement sous-estimée. Lorsque des entreprises sont piratées, elles réagissent comme si elles n’avaient fait qu’une seule chose ou évité une seule erreur, tout aurait été correct. L’adversaire est traité comme s’il avait juste eu de la chance ».

L’exemple du mot de passe ici ne fait que mettre en évidence que malgré les sensibilisations, les gens continuent d’avoir de mauvaises pratiques en matière de définition de mot de passe ainsi que dans le secteur de la sécurité en général. « Je suis tout à fait d’accord avec le « c’est un exemple de mauvaise pratique en matière de sécurité », mais… ce n’est pas ce qui a été dit. Ils ont littéralement dit que le mot de passe faible signifie que l’attaquant peut être n’importe qui. N’importe qui peut le faire. C’est la suggestion la plus absurde (….) Je suis parfaitement disposé à croire que leurs serveurs de compilation utilisaient « admin:admin » et que c’est comme ça que les Russes ont eu accès à leur code… mais, c’était une opération clandestine de renseignement. Ils n’ont pas réussi simplement parce que SolarWind avait une mauvaise hygiène des mots de passe ».

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage