Les hackers disposent d’une variété d’outils à leur disposition pour pirater les mots de passe de votre entreprise et pirater vos données.

Suivez ces étapes pour les contrecarrer.

L’utilisation de mots de passe traditionnels est une dangereux pour les entreprises de nos jours. Une approche beaucoup plus raisonnable consiste à protéger les données propriétaires par des moyens tels que l’authentification multifactorielle, les services d’authentification unique ou la biométrie. Selon les conclusions récentes des chercheurs en sécurité, la majorité des piratages de données survenues en 2017 tournaient autour des informations d’identification hackées ou faiblement accessibles.

Disséquons les méthodes de craquage de mot de passe les plus courantes que les auteurs en ligne utilisent pour pirater les entreprises et les particuliers.

Fichiers de mots de passe hashés compromettants.

Lorsque les cybercriminels obtiennent les mots de passe d’une organisation, c’est probablement parce qu’ils ont pu pirater le fichier de mots de passe. Il existe des entreprises qui conservent les listes de mots de passe sous forme de texte en clair. Une tactique plus sécurisée consiste à stocker les fichiers de mots de passe sous forme hachée. Cependant, aucune technique assez fiable ne suffit de nos jours.

En un mot, le hachage de mot de passe indique un mécanisme de transformation unidirectionnelle d’un mot de passe qui ne peut pas être inversé pour obtenir la chaîne d’origine. Lorsqu’un employé tente de se connecter avec son mot de passe normal, le module d’authentification le transforme automatiquement en formulaire haché et compare la chaîne à la valeur stockée dans la base de données. Si ces valeurs correspondent, la connexion est réussie.

Les acteurs de la menace qui accèdent à un fichier de mot de passe haché peuvent s’appuyer sur des «tables arc-en-ciel» pour inverser les fonctions de hachage. Étant donné que ce type d’activité nécessite une puissance de calcul importante, les pirates peuvent utiliser un matériel de craquage de mots de passe spécialement conçu, utiliser un botnet ou louer de l’espace auprès de fournisseurs de cloud.

En outre, il existe des services sur le dark web qui permettent aux auteurs d’externaliser la tâche de traitement des données. Dans ce cas, ils peuvent louer le service pour une durée déterminée et même obtenir un support technique.

En fin de compte, n’importe quel mot de passe peut être craqué tant que les attaquants ont le temps et les ressources suffisantes sur leurs mains. Ainsi, votre compte GMail peut être facilement piraté. La seule question est de savoir combien de temps cela prend. C’est habituellement une question de jours ou même d’heures, pas d’années comme avant.

Cela s’applique à pratiquement n’importe quel mot de passe créé par un humain. Les mots de passe générés par ordinateur ont tendance à être plus difficiles à déchiffrer de cette manière, mais ils sont encore moins sûrs à utiliser que l’authentification multifactorielle.

Un élément particulièrement déconcertant dans un scénario de hachage de mot de passe volé est que toute la routine de traitement et de craquage est exécutée sur la machine du malfaiteur. L’attaquant n’a pas besoin d’interagir avec l’infrastructure de la société cible en cours de route; par conséquent, aucun drapeau rouge ne sera levé. Des milliers de mots de passe peuvent être craqués en quelques heures tant que l’ordinateur de l’escroc a assez de puissance de traitement.

Attaques à grande échelle utilisant des botnets.

Les cybercriminels peuvent utiliser des botnets pour compromettre de gros services en ligne. Cette technique leur permet d’essayer de nombreuses combinaisons différentes de noms d’utilisateur et de mots de passe communs ou ceux obtenus à partir de vidages d’informations d’identification qui se produisent régulièrement. Ces listes peuvent être achetées sur le web sombre à moindre coût. Ils proviennent généralement de violations de base de données, telles que le piratage de messagerie Yahoo qui a compromis des milliards de comptes.

Imaginons un scénario où un acteur de la menace souhaite accéder à des comptes de messagerie. Les tentatives de connexion au même compte plusieurs fois génèrent des alertes. Pour contourner ces mesures de sécurité, l’attaquant commence par une liste d’adresses électroniques divulguées et une liste des mots de passe les plus fréquemment utilisés. Ensuite, ils essaient d’entrer dans chacun de ces comptes de messagerie avec l’un des mots de passe les plus courants, générant un seul échec par compte. Quelques jours plus tard, ils essaient un autre mot de passe commun pour chaque adresse e-mail. En utilisant un botnet à cet effet, les escrocs font croire que les tentatives de connexion proviennent de différentes sources.

Une bonne réponse à ce vecteur d’attaque est l’authentification à deux facteurs, où vous recevez un code secret que vous devez saisir chaque fois que vous tentez de vous connecter. Des technologies sophistiquées telles que la reconnaissance faciale et la biométrie comportementale sont également concernées. L’utilisation de services d’authentification tiers tels que Google ou Facebook est une autre bonne pratique qui minimise également le nombre de mots de passe dont vous devez vous souvenir.

Est-ce que les pirates ont déjà votre mot de passe ?

Lorsque les cybercriminels ciblent une personne, leur point de départ consiste à vérifier si les informations de connexion de cette personne ont déjà été volées à d’autres services. Si c’est le cas, il est probable que le même mot de passe soit utilisé pour le compte ciblé.

La plupart des utilisateurs ont des dizaines, voire des centaines de comptes en ligne différents. Il est trop difficile de se souvenir des mots de passe pour tous ces comptes; par conséquent, les gens ont tendance à utiliser seulement quelques mots de passe, avec quelques variations mineures.

Certaines personnes pensent qu’elles sont complètement sécurisées si elles ont un mot de passe très complexe et l’utilisent pour tous leurs comptes. C’est une illusion. Dans le cas où les pirates obtiennent ce mot de passe, toutes vos informations sont à risque. Peu importe la force du mot de passe si vous le réutilisez. En passant, il existe des ressources en ligne qui vous permettent de savoir si l’un de vos comptes protégés par mot de passe a été violé dans le passé.

Les incidents dans lesquels les pirates informatiques utilisent des logiciels malveillants et volent le mot de passe de leur compte de messagerie électronique sont particulièrement préjudiciables. De cette façon, les chapeaux noirs peuvent se connecter et réinitialiser les mots de passe pour les autres services que la victime utilise. En outre, si un site Web ou un service d’entreprise interne n’a aucune limitation en ce qui concerne les tentatives de connexion, il peut forcer le mot de passe par une attaque de dictionnaire ou par des solutions de cracking comme Hashcat, Mimikatz ou John the Ripper. Lorsqu’ils se lancent à la poursuite d’une cible de grande envergure, les escrocs peuvent effectuer des opérations OSINT (intelligence open source) afin de déterminer les réponses probables aux questions de sécurité accompagnant la récupération du mot de passe.

Les mots de passe créés par les humains, quelle que soit leur complexité, s’avèrent être des fruits à portée de main pour les pirates informatiques. Les technologies pour les fissurer ont considérablement évolué au fil du temps, alors que les gens restent assez prévisibles pour générer des mots de passe piratables. C’est un paradigme où les attaquants gagnent et les utilisateurs perdent.

Votre mot de passe est-il assez fort ?

Malheureusement, la plupart des services en ligne suivent des pratiques de renforcement des mots de passe qui sont dépassées. Leurs exigences se résument habituellement à huit caractères ou plus et à une combinaison obligatoire de symboles, de chiffres, de majuscules et de minuscules. Cela peut prendre quelques minutes ou même quelques secondes à un ordinateur pour créer un mot de passe répondant à ces critères.

Tout cela représente un sérieux défi pour les utilisateurs finaux et les fournisseurs de services. Il est trop difficile pour une personne moyenne de créer des dizaines de mots de passe uniques et longs pour les sites Web qu’elle utilise, de les changer régulièrement et de les mémoriser tous.

Il est recommandé d’utiliser les mots de passe les plus longs possibles pour les services en ligne et de tirer parti d’une solution de gestion des mots de passe réputée pour les stocker. En outre, vous devez sauvegarder le coffre-fort avec une phrase secrète principale d’environ 30 caractères. Assurez-vous que ce n’est pas une citation d’un roman ou tout ce qui peut être trouvé sur Internet. Il est important de noter que tous vos mots de passe doivent être générés de manière aléatoire et n’avoir que peu de sens ou aucun sens. Si vous pouvez vous en souvenir et le dire à quelqu’un, ce n’est pas un bon mot de passe.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage