Comment protéger vos données des mots de passe piratés ?

Les organisations utilisent de nombreux systèmes de contrôle de sécurité pour réduire leur surface d’attaque exposée aux menaces liées aux mots de passe. Malheureusement, même avec des règles de mot de passe avancées, Active Directory reste vulnérable.

Les pirates ont toujours ciblé les utilisateurs finaux, considérés comme le maillon faible de la chaîne. Leurs tactiques s’appuient sur l’ingénierie sociale : ils incitent les utilisateurs à enfreindre les pratiques de sécurité standard. Désormais, armés d’une collection d’identifiants sans cesse renouvelée, ils misent sur la paresse des utilisateurs et la réutilisation des mots de passe.

Outre l’élaboration minutieuse d’e-mails d’hameçonnage et le passage en revue de millions de permutations aléatoires de mots de passe dans une attaque par force brute, les pirates peuvent également utiliser une liste de mots de passe à forte probabilité. Ces mots de passe peuvent être déclinés à l’aide de modèles, comme la substitution de caractères (M0td3P@$$3) ou de suites de caractères courantes (azerty123). Si l’attaque vise une organisation spécifique, elle créera une liste de mots de passe utilisant des mots en rapport avec l’organisation, notamment son nom, son adresse, ses services, des acronymes pertinents ou même des équipes sportives locales. Avec un nombre limité et ciblé de tentatives, les hackers peuvent détourner le compte sans déclencher le verrouillage.

Pour plus d’informations sur cette méthode de piratage, voir l’article “Qu’est-ce qu’une attaque par dictionnaire de mots de passe ?” (en anglais).

Jusqu’à peu, les mots de passe volés étaient revendus sur le dark web pour des milliers de dollars. Aujourd’hui, ces mots de passe sont disponibles gratuitement, en clair, et se comptent en milliards.  N’importe qui peut maintenant s’introduire sur un service en essayant une combinaison de nom d’utilisateur et mot de passe piratée en les comparant à des identifiants en ligne. Il peut aussi utiliser un dictionnaire de mots de passe courants et les combiner avec des noms d’utilisateur dans l’espoir qu’une personne dans l’organisation utilise un mot de passe faible. En réponse, les organisations doivent s’équiper des mêmes dictionnaires pour protéger leurs utilisateurs – ou risquer la violation de leurs données.

Vous pouvez améliorer vos paramètres de mot de passe en bloquant non seulement les mots de passe ayant fait l’objet d’une fuite, mais aussi les mots de passe faibles au sein de votre organisation. Ce filtrage des mots de passe vous permet d’assouplir les exigences en termes de mot de passe d’Active Directory, telles que la complexité des caractères et les périodes d’expiration, tout en maintenant le niveau de sécurité souhaité.

Il suffit d’un seul mot de passe divulgué pour créer un risque et une compromission éventuelle. Si une liste de mots de passe limitée à 1 000 mots de passe offre une relative protection, une liste, plus importante, prendra en compte des milliards de mots de passe dont certains seulement considérés comme faibles uniquement parce qu’ils peuvent être trouvés sur une liste piratée.