Parmi les cyberattaques qui permettent d’intégrer un système informatique via des identifiants, on connait l’attaque par force brute. Maintenant, il y a également le « credential stuffing » ou Infiltration de comptes. En avez-vous entendu parler ? C’est une cyberattaque qui a des liens avec le RGPD. En effet, cette catégorie de cyberattaque se fait en utilisant souvent des identifiants obtenus suite à des violations de données (d’où le lien avec le RGPD, notamment en ce qui concerne la sécurisation des données). Le credential stuffing est donc une des conséquences potentielles d’une violation de données. En quoi cela consiste et comment éviter ce genre d’attaque ? c’est ce que nous allons aborder dans cet article.
Le credential stuffing c’est :
Comme nous l’avons indiqué dans l’introduction, le credential stuffing ou infiltration de comptes est une cyberattaque qui consiste à utiliser des identifiants obtenus suite à une violation de données.
Exemple : un pirate après avoir acheté sur le darkweb une liste d’identifiant volés exploite celle-ci pour se connecter sur le site d’un groupement expert en gestion patrimoniale. Il suppose que certains de ces identifiants sont réutilisés à l’identique pour accéder à sa cible.
Il convient de rappeler que la plupart des violations de données émanent de cyberattaques. Les données volées sont ensuite mises en vente sur le darkweb. Soit une belle mine d’or pour des pirates informatiques.
En 2024, les exemples n’ont pas manqué avec notamment FREE, SFR, BOULANGER, LES MISSIONS LOCALES etc. 2025 « commence bien » avec KIABI et son site de vente en seconde main.
Pour réaliser ce genre d’attaque, les pirates utilisent des bots malveillants (En savoir plus sur les bots : https://www.kaspersky.fr/resource-center/definitions/what-are-bots ) pour contourner les protections de connexion traditionnelles.
Cette cyberattaque se repend de plus en plus malgré son taux de réussite marginal (0.1%). Cependant par les violations de données les pirates arrivent à obtenir des millions d’identifiants. Imaginez en exploitant 1 000 000 de compte et vous obtenez 1000 « entrées » cela en vaut la peine, sachant que selon des experts, une grande majorité de personnes utilisent le même login et mot de passe n’est-ce pas ?
De plus, les avancées technologiques concernant les bots renforcent l’intérêt pour les pirates, d’utiliser ce genre d’attaques.
Comment une entreprise peut découvrir qu’elle est victime d’un « credential stuffing ? En analysant le volume global de tentatives de connexions.
Après avoir abordé ce qu’est le « credential stuffing », abordons les principes qui permettent d’éviter cette cyberattaque.
Comment éviter le credential stuffing
Du fait que de nombreuses personnes utilisent les mêmes logins et mot de passe, ce genre d’attaque réussit souvent. Tant que cette pratique se poursuivra, le credential stuffing aura de beaux jours.
Alors, (on le rappelle !) On recommande d’utiliser des identifiants uniques pour chaque service utilisé. Ensuite, mieux vaut utiliser un gestionnaire de mots de passe pour enregistrer tous vos mots de passe. Vous aurez alors à connaître par cœur un seul identifiant.
De plus, chaque mot de passe (On le rappelle également !) doit être composé de 12 caractères minimum. Le tout en utilisant des lettres majuscules et minuscules, des chiffres et des caractères spéciaux.
L’authentification à double facteur est également un bonne solution lorsqu’elle est disponible.
Ces principes sont valables pour les particuliers ainsi que les TPE et PME qui ont un petit service informatique.
Pour les autres, l’utilisation d’une authentification à deux facteurs ou utiliser une technique de capchas sera utile même si pour les salariés, cela devient contraignant et procédurier. Néanmoins il est préférable de prendre plus de précautions pour limiter les tentatives de piratage. Également, il convient de mentionner ces précautions en tant qu’obligations dans les chartes informatiques. Sans oublier l’importance de responsabiliser et sensibiliser les salariés.
Enfin, utiliser un service de gestion de bots peut être une protection plus efficace. En effet, un tel service combiné à une base de données de réputation IP peut empêcher les bots malveillants de faire des tentatives de connexion sans avoir d’impact sur les connexions légitimes.
Parmi les solutions qui semblent crédibles, on trouve de la société Cloudflare
- Super Bot fight (https://www.cloudflare.com/application-services/products/bot-management/ )
- Bot fight mode pour les TPE, PME https://developers.cloudflare.com/bots/get-started/free/
Pour conclure,
Le credential stuffing est une attaque largement évitable pour toutes organisations et les personnes à condition d’avoir une bonne politique de gestion des identifiants pour accéder à des services sur le web. D’autre part, son existence vient rappeler que toutes organisations doivent en vertu du RGPD protéger les données qu’elle collecte. La sécurisation des données clients, prospects, salariés, les données sensibles (genre, appartenance politique, syndicale, religieuse etc. en vertu de l’article 9 du RGPD) doit être un enjeu capital pour toutes organisations. De plus, démontrer pour une entreprise, une association ou une collectivité qu’elle est conformité quant à la règlementation relative aux données à caractère personnel renforce la confiance et la crédibilité des personnes physiques envers celles-ci quant à l’utilisation de leurs données.
Ainsi, SYSGUARD vous accompagne pour auditer votre système informatique et apporter des solutions efficaces pour le sécuriser. Nous accompagnons également les organisations à se mettre en conformité quant au RGPD et autres règlementations. Pour en savoir plus, contactez-nous.