Réussir à compromettre des identifiants de connexion est l’objectif de nombreuses cyber-attaques modernes. Si elles l’atteignent, ces attaques peuvent alors entraîner les compromissions de données les plus graves – en particulier lorsqu’elles visent des comptes de haut niveau. L’une des méthodes les plus anciennes et les plus courantes pour deviner le mot de passe d’un utilisateur est l’attaque par force brute. Nous allons voir ce que cela recouvre, comment elle fonctionne et comment les organisations peuvent s’en défendre.

Qu’est-ce qu’une attaque par force brute ?

Les attaques par force brute sont relativement simples à comprendre. Il s’agit principalement d’une méthode peu sophistiquée mais néanmoins très efficace pour décoder des données chiffrées comme des mots de passe. Les cybercriminels utilisent des outils pour tester toutes les combinaisons de mots de passe possibles à travers d’innombrables tentatives de connexion jusqu’à ce que le bon mot de passe soit identifié. Plus leur puissance de calcul est importante, plus ce processus est rapide, surtout si les mots de passe sont faibles.

Cependant, toutes les attaques par force brute ne sont pas identiques. Les cybercriminels emploient toute une série de tactiques allant des simples attaques par force brute- qui testent toutes les combinaisons possibles de mots de passe – à des approches plus nuancées comme les attaques par force brute hybrides et inversées. Si chaque méthode repose sur une stratégie distincte les motivations des attaques par force brute sont les mêmes : déchiffrer des mots de passe pour obtenir un accès non autorisé à des informations protégées.

Les types d’attaques par force brute

Les nuances entre ces types d’attaques mettent en évidence la sophistication croissante des cybercriminels et soulignent la nécessité de rester à la pointe concernant vos mesures défensives.

Attaques par force brute simples : Les attaquants utilisent une méthode systématique d’essai et d’erreur pour deviner les combinaisons de mots de passe. Ce type d’attaque est exhaustif et peut demander beaucoup de temps mais il est efficace si les mesures de cybersécurité mises en place par la cible sont faibles.

Attaques par dictionnaire : Ce type d’attaque consiste à essayer de deviner tous les mots d’une liste prédéfinie ou d’un « dictionnaire » de mots de passe courants. Les attaques par dictionnaire exploitent la tendance des utilisateurs à utiliser des mots de passe simples, faciles à mémoriser (et à deviner). Elles peuvent être très efficaces contre les organisations qui n’ont pas mis en œuvre des politiques de mots de passe solides.

Les attaques par force brute inversée : Au lieu d’essayer de forcer un profil utilisateur avec plusieurs mots de passe, l’attaquant essaie de faire coïncider un seul mot de passe avec plusieurs noms d’utilisateur différents au sein d’une organisation. Ce type d’attaque tire parti du fait que les utilisateurs ont souvent recours aux mêmes mots de passe faibles – ce qui signifie que le mot de passe en question a probablement été choisi par au moins une personne.

Attaques hybrides par force brute : Combine des éléments des attaques par dictionnaire et des attaques par force brute simples, en utilisant un dictionnaire de mots de passe mais en y ajoutant des combinaisons numériques ou de caractères spéciaux.

Exemple concret d’une attaque par force brute

En août 2021, T-Mobile, l’un des plus grands opérateurs de réseaux sans fil aux États-Unis, a été victime d’une importante atteinte à la cybersécurité relative à une attaque par force brute. L’incident a conduit à l’exposition de données personnelles sensibles de plus de 37 millions de d’anciens clients, de clients actuels et de prospects. Les données volées comprenaient des numéros de sécurité sociale, des informations sur les permis de conduire et d’autres données personnelles identifiables.

Cet incident a mis en évidence la vulnérabilité des organisations, même les plus grandes, face aux attaques par force brute et a rendu plus urgente la nécessité de mettre en place des mesures de cybersécurité robustes. Même si les mots de passe sont cryptés et stockés sous forme de hachages de mots de passe, les attaquants peuvent toujours « deviner » les mots de passe jusqu’à ce qu’ils réussissent à faire correspondre le mot de passe représenté par le hachage du mot de passe.

Prévenir les attaques par force brute

Il existe plusieurs mesures de cybersécurité préventives que les organisations devraient mettre en œuvre collectivement afin de réduire le risque de se retrouver pris dans le piège d’une attaque par force brute.

Des mots de passe plus longs

En augmentant la longueur des mots de passe et en incorporant un mélange de lettres majuscules et minuscules, de chiffres et de caractères spéciaux, le nombre de mots de passe possibles monte en flèche – ce qui rend l’aboutissement des attaques par force brute exponentiellement plus difficiles – et ce même avec de grandes quantités de puissance de calcul. La meilleure façon de créer un mot de passe long de plus de 20 caractères est d’utiliser une passphrase dans laquelle trois mots mémorables aléatoires sont enchaînés et quelques caractères spéciaux moins utilisés sont incorporés.

Vous ne savez pas combien de personnes de votre organisation utilisent des mots de passe faibles ou compromis ? Lancez un audit gratuit dès aujourd’hui avec Specops Password Auditor pour obtenir une vue d’ensemble sur les risques liés aux mots de passe. 

Authentification multi-facteurs

La mise en œuvre de l’authentification multi-facteurs (MFA) est une autre stratégie efficace pour lutter contre les attaques par force brute. En exigeant des utilisateurs qu’ils vérifient leur identité par le biais d’une méthode secondaire, comme une application mobile à lancer ou un code reçu par texto, la MFA réduit considérablement la probabilité d’un accès non autorisé, même si un mot de passe est compromis.

Surveiller les tentatives de connexion infructueuses

Être attentif lorsque se produisent plusieurs tentatives de connexion infructueuses : cela peut également être le signal d’alerte précoce d’une attaque par force brute en cours. De nombreux systèmes mettent en œuvre des politiques de verrouillage des comptes ou de retardement après un certain nombre de tentatives de connexion infructueuses, empêchant ainsi toute nouvelle tentative et déjouant efficacement les attaques simples par force brute.

Sécurisez vos systèmes contre les attaques par force brute avec Specops

Bien que ces mesures puissent renforcer de manière significative les défenses contre les attaques par force brute, leur gestion peut être une tâche décourageante pour les équipes de sécurité informatique. Specops Password Policy renforce la sécurité en empêchant les utilisateurs de choisir des modèles de mots de passe communs et en analysant continuellement les mots de passe compromis connus, ce qui rend exponentiellement plus difficile la réussite d’une attaque par force brute. Specops Breached Password Protection utilise une liste de plus de 4 milliards de mots de passe compromis – qui comprend même ceux qui étant actuellement utilisés dans des attaques en cours.

Specops Breached Password Protection

Specops Password Policy est également livré avec une interface utilisateur utile pour guider les employés dans la création de passphrases plus longues et plus fortes qui répondent aux exigences de la politique de mot de passe de votre organisation. Essayez Specops Password Policy gratuitement aujourd’hui et protégez vos utilisateurs contre les attaques par force brute.