Qu'est-ce que la reprise de compte ?
Une personne moyenne possède des dizaines de comptes en ligne nécessaires pour accéder à des sites web, des applications et des systèmes personnels et professionnels. Les attaques par prise de contrôle de compte (comme leur nom l'indique) tentent d'obtenir l'accès à ces comptes, ce qui permet à l'attaquant de voler des données, de diffuser un logiciel malveillant, ou d'utiliser l'accès et les autorisations légitimes du compte à d'autres fins malveillantes.
Comment se produisent les prises de contrôle de comptes ?
Pour qu'une attaque par prise de contrôle de compte puisse se produire, l'attaquant doit avoir accès aux informations d'authentification du compte cible, telles qu'une combinaison de nom d'utilisateur et de mot de passe. Les attaquants peuvent obtenir ces informations de diverses manières, notamment :
- Bourrage de justificatifs : Les attaques de bourrage de justificatifs utilisent des robots pour tenter automatiquement de se connecter à un compte utilisateur à l'aide d'une liste de mots de passe courants ou ayant fait l'objet d'une violation. Ces attaques sont possibles car de nombreux comptes d'utilisateurs sont protégés par des mots de passe faibles ou réutilisés - un problème de sécurité majeur.
- Phishing : Les informations d'identification des utilisateurs sont une cible courante des attaques de phishing , qui utilisent souvent des liens malveillants pour diriger un utilisateur vers une fausse page de connexion à un service, permettant à l'attaquant de recueillir ses informations d'identification.
- Logiciels malveillants : Les infections par des logiciels malveillants sur l'ordinateur d'un utilisateur peuvent voler des mots de passe de différentes manières. Il s'agit notamment d'extraire les informations d'authentification des caches de mots de passe du navigateur ou du système, ou d'enregistrer les frappes d'un utilisateur lorsqu'il s'authentifie sur un compte.
- Vulnérabilités des applications : Les utilisateurs ne sont pas les seules entités disposant de comptes sur les systèmes et réseaux d'une organisation. Les applications ont également des comptes, et un attaquant peut exploiter les vulnérabilités de ces comptes pour profiter de leur accès.
- Cookies volés : Les cookies stockés sur l'ordinateur d'un utilisateur peuvent conserver des informations sur sa session de connexion afin de permettre l'accès à un compte sans mot de passe. En ayant accès à ces cookies, un attaquant peut prendre le contrôle de la session d'un utilisateur.
- Mots de passe codés en dur : Les applications doivent généralement avoir accès à divers comptes en ligne pour remplir leur rôle. Parfois, les mots de passe de ces comptes sont stockés dans le code de l'application ou les fichiers de configuration, qui peuvent être exposés sur GitHub ou faire l'objet d'autres fuites.
- Clés API compromises : Les clés API et autres jetons d'authentification sont conçus pour permettre aux applications d'accéder à des comptes et services en ligne via une API. Si ces clés sont accidentellement téléchargées vers un dépôt GitHub ou font l'objet d'une autre fuite, elles peuvent donner accès au compte d'une organisation.
- Reniflage du trafic réseau : Bien que la plupart du trafic réseau soit chiffré et sécurisé, certains appareils utilisent encore des protocoles non sécurisés, tels que Telnet. Un attaquant qui peut visualiser ce trafic réseau non chiffré peut en extraire des informations d'identification.
Impact des attaques de prise de contrôle de comptes
Une attaque réussie de prise de contrôle de compte accorde à l'attaquant les mêmes accès et autorisations que le propriétaire légitime du compte. Avec cet accès, un attaquant peut entreprendre diverses actions, telles que :
- Vol de données : les attaques par usurpation de compte peuvent conduire à la violation et à l'exfiltration de grandes quantités de données sensibles, confidentielles ou protégées, telles que des numéros de carte de crédit ou des informations d'identification personnelle (PII).
- Diffusion de logiciels malveillants : Les attaques par prise de contrôle de compte permettent aux attaquants d'installer et d'exécuter des rançongiciels et d'autres logiciels malveillants sur les systèmes de l'entreprise.
- Attaques de suivi : Une fois qu'un attaquant a obtenu l'accès à un compte légitime, il peut l'utiliser pour mener d'autres attaques. Parfois, l'accès à un compte spécifique n'est fait que dans ce but (par ex. les attaquants peuvent voler les identifiants de connexion en espérant que l'utilisateur a réutilisé des mots de passe sur plusieurs comptes).
- Mouvement latéral : Un compte compromis peut constituer un point d'entrée pour un attaquant dans un réseau par ailleurs sécurisé. À partir de ce point de départ initial, l'attaquant peut étendre son accès ou élever ses privilèges à d'autres systèmes de l'entreprise, un processus appelé mouvement latéral.
- Profit financier : Au lieu d'utiliser lui-même le compte compromis, l'attaquant peut en vendre l'accès sur le dark web.
Comment se défendre contre les attaques par prise de contrôle de compte
Les organisations peuvent prendre plusieurs mesures pour prévenir la prise de contrôle de comptes et minimiser l'impact de ces attaques.
Prévention de la prise de contrôle des comptes
La défense en profondeur constitue la meilleure approche à adopter pour lutter contre les risques d'attaque par usurpation de compte. Les attaques par usurpation de compte profitent généralement de lacunes dans les pratiques de sécurité des comptes. Voici quelques exemples de défense que les entreprises peuvent mettre en place pour prévenir les attaques par usurpation de compte :
- Politiques de mots de passe forts : De nombreuses attaques de prise de contrôle de comptes tirent parti de mots de passe faibles et réutilisés. La définition et l'application d'une politique de mots de passe forts - y compris la réalisation d'un test pour vérifier si les mots de passe des utilisateurs ont été exposés lors d'une violation - peuvent rendre plus difficiles les attaques par bourrage de crédits et par craquage de mots de passe.
- Protection contre le phishing : Les attaques de phishing sont une méthode courante pour les attaquants de voler les mots de passe des utilisateurs. En filtrant les courriels à risque ou en bloquant les domaines suspects via Internet filtering, une organisation réduit le risque que les utilisateurs compromettent leurs informations d'identification par inadvertance.
- Authentification multifactorielle (MFA) : MFA utilise plusieurs facteurs pour authentifier un utilisateur, comme la combinaison d'un mot de passe et d'un mot de passe à usage unique (OTP) généré par une application d'authentification, ou l'utilisation de hard keys en plus d'un mot de passe. En imposant l'utilisation de l'AMF sur tous les comptes, il est plus difficile pour un attaquant de tirer parti d'un mot de passe compromis.
- Test de sécurité des applications : Les clés d'API et les jetons d'authentification exposés dans les API peuvent permettre aux attaquants d'accéder aux comptes en ligne d'une organisation. L'application de pratiques d'authentification forte et l'analyse du code d'application et des fichiers de configuration à la recherche d'éléments d'authentification permettent de s'en prémunir.
- Sécurité des connexions et des API : les attaques par infiltration de compte essaient de nombreuses combinaisons différentes de noms d'utilisateurs et de mots de passe pour tenter de deviner des identifiants de connexion valides. Les solutions de sécurité des connexions et des API peuvent vous aider à identifier et à bloquer ces attaques.
Atténuation des attaques de prise de contrôle de compte
La prévention de la prise de contrôle de compte est importante pour gérer le risque d'attaques par prise de contrôle de compte, mais elle n'est pas toujours efficace. Par exemple, une attaque par hameçonnage sur le compte de messagerie personnel d'un utilisateur peut entraîner la fuite d'informations de connexion permettant à un attaquant de se connecter au compte d'entreprise de ce même utilisateur.
En plus des stratégies de prévention énumérées ci-dessus, les organisations peuvent minimiser les dommages causés par ces attaques en utilisant les approches suivantes :
- Analyse comportementale : . Lorsqu'il a accès au compte d'un utilisateur, un attaquant est susceptible de se livrer à des activités anormales, comme l'exfiltration de gros volumes de données sensibles ou le déploiement de logiciels malveillants. La surveillance continue de l'utilisation d'un compte après l'authentification peut permettre à une organisation de détecter et de répondre à des attaques réussies de prise de contrôle de compte.
- Sécurité Zero Trust : u modèle de sécurité Zero Trust imposant un refus par défaut rend extrêmement difficile l'accès des attaquants à l'application ou à la ressource ciblée, même s'ils possèdent des identifiants compromis. Avant d’accorder l’accès aux applications de l’entreprise, la requête d’un attaquant visant à accéder aux applications de l’entreprise doit faire l’objet d’une vérification basée sur l’identité, le niveau de sécurité des appareils et d’autres signaux contextuels. Une organisation avec des politiques Zero Trust rigoureuses et granulaires peut détecter des signaux suspects, comme une géographie inhabituelle pour la requête ou le fait que l'appareil à l'origine de la requête soit infecté, et refuser la demande d'accès de l'attaquant.
Cloudflare Zero Trust permet aux entreprises d'autoriser l'accès à distance aux applications et aux systèmes, tout en maîtrisant le risque d'usurpation de compte. Avec une solution d'accès réseau Zero Trust (Zero Trust Network Access, ZTNA), les utilisateurs ne peuvent accéder à des ressources spécifiques qu'après vérification de leur identité, de leur contexte et de leur conformité aux politiques de l'entreprise.
FAQ
Qu'est-ce que l'usurpation de compte (ATO) et comment se produit-elle ?
L'usurpation de compte se produit lorsque les cybercriminels obtiennent un accès non autorisé à des comptes d'utilisateurs à l'aide d'informations d'identification volées ou de vulnérabilités de sécurité. Les acteurs malveillants obtiennent généralement des informations de connexion dans le cadre d’attaques par phishing, de violations de données ou de bourrage d’identifiants (Credential Stuffing).
Quelles sont les conséquences commerciales des attaques avec usurpation de compte ?
Les entreprises victimes d'une usurpation de compte subissent des pertes financières, une atteinte à leur réputation et de potentielles pénalités réglementaires. Si les clients perdent confiance dans la marque d'une entreprise victime de la menace de l'entreprise, les répercussions à long terme sur les revenus peuvent s'inscrire dans la durée, au-delà des pertes immédiates liées à la fraude.
Comment les attaques par bourrage d'identifiants contribuent-elles à l'usurpation de comptes ?
Lors d'une attaque par bourrage d'identifiants (Credential Stuffing), des bots automatisés testent des combinaisons de noms d'utilisateur et de mots de passe volés sur plusieurs sites web dans le but d'exploiter les habitudes de réutilisation des mots de passe. Ces attaques automatisées peuvent lancer des millions de tentatives de connexion par jour et sont ainsi des outils efficaces pour compromettre les comptes en masse. Tous les identifiants qui fonctionnent pour un compte donné permettent à l'acteur malveillant à l'origine des bots de prendre le contrôle de ce compte.
Quel rôle est le rôle de la MFA dans la prévention de l'usurpation de compte ?
L’authentification multifacteur (MFA) constitue une couche de défense essentielle qui impose une vérification supplémentaire au-delà des mots de passe. Même en cas de compromission des identifiants, la MFA réduit considérablement le nombre de tentatives d'usurpation de compte réussies car elle exige la possession d'un appareil physique ou une vérification biométrique. Il est beaucoup plus difficile de s'équiper d'un tel appareil physique ou des bonnes données biométriques que de voler ou d'acheter un mot de passe compromis.
Comment les organisations parviennent-elles à détecter de manière précoce les compromissions de compte potentielles ?
Les entreprises doivent utiliser l'analyse comportementale pour identifier les logiques de connexion anormales et les activités suspectes. La surveillance en temps réel des emplacements, appareils ou heures d'accès inhabituels peut déclencher une vérification supplémentaire avant qu'une compromission ne se produise.