Attaque par liste de mots de passe

Une attaque par liste de mots de passe est un type de cyberattaque dans lequel des attaquants utilisent une liste préétablie d’identifiants et de mots de passe, souvent obtenus en exploitant des vulnérabilités sur d’autres sites, pour tenter d’accéder sans autorisation aux sites web d’entreprises ou d’organisations. Cette méthode est également appelée « attaque par liste de comptes » ou « piratage de comptes à partir de listes ».

Les attaquants obtiennent généralement ces listes d’identifiants et de mots de passe à partir de sites web ou de systèmes non sécurisés. Par exemple, si un attaquant accède à un compte de commerce en ligne à l’aide d’identifiants volés, il peut dérober des informations personnelles ou utiliser frauduleusement les données de carte bancaire enregistrées. Les victimes d’attaques par listes de mots de passe peuvent subir des pertes financières dues à des retraits non autorisés ou à des transactions frauduleuses.

Causes des attaques par listes de mots de passe

Réutilisation des identifiants et des mots de passe : de nombreux utilisateurs réutilisent les mêmes identifiants sur plusieurs services, ce qui permet aux attaquants de compromettre plus facilement plusieurs comptes.
Attaques par hameçonnage : les attaquants peuvent obtenir des listes d’identifiants par le biais de l’hameçonnage, qui consiste à inciter les utilisateurs à saisir leurs identifiants sur des sites web frauduleux mais convaincants.

Différences par rapport aux autres cyberattaques

Les attaques par liste de mots de passe sont souvent confondues avec les types d’attaques suivants :

Attaques par force brute : deviner systématiquement les mots de passe en essayant toutes les combinaisons possibles.
Attaques par dictionnaire : utilisation d’une bibliothèque prédéfinie de mots de passe courants ou de combinaisons de mots, comme des noms ou des expressions.
Attaques par pulvérisation de mots de passe : utilisation d’un même mot de passe pour tenter de se connecter simultanément à de nombreux comptes, afin d’éviter les mécanismes de verrouillage des comptes.

Les attaques par liste de mots de passe sont particulièrement difficiles à détecter, car elles impliquent moins de tentatives de connexion par compte que les attaques par force brute.

Exemples d’incidents réels

Systèmes de paiement par QR code : en juillet 2019, le service japonais de paiement par QR code « 7pay » a subi des pertes financières à la suite d’accès non autorisés, vraisemblablement liés à des attaques par listes de mots de passe, ce qui a entraîné la fermeture du service.
Dépôts bancaires : en septembre 2020, NTT Docomo a été confronté à des retraits frauduleux sur des comptes bancaires effectués via son service « Docomo Account » à l’aide d’identifiants volés.

Impacts des attaques par listes de mots de passe

Retraits non autorisés et fraude aux paiements : des identifiants volés peuvent permettre d’accéder sans autorisation à des comptes bancaires ou d’utiliser frauduleusement des cartes de crédit.
Violations de données : les victimes peuvent subir des fuites d’informations personnelles ou professionnelles sensibles.
Usurpation d’identité sur les réseaux sociaux : l’accès non autorisé à des comptes de réseaux sociaux peut nuire à la réputation par la publication de faux contenus ou l’envoi de faux messages.
Responsabilités juridiques des prestataires de services : les entreprises peuvent voir leur responsabilité civile et pénale engagée en raison de mesures de sécurité insuffisantes, entraînant de coûteuses opérations de limitation des dommages.
Perte de confiance du public : les violations de données peuvent nuire à la réputation de l’entreprise et réduire la confiance des utilisateurs dans ses services.

Prévenir les attaques par listes de mots de passe

Les particuliers comme les organisations doivent mettre en œuvre des stratégies pour prévenir ces attaques :

Évitez de réutiliser vos identifiants : les utilisateurs doivent employer un identifiant et un mot de passe uniques pour chaque service, tandis que les fournisseurs de services doivent les sensibiliser à cette bonne pratique.
Surveillez les tentatives de connexion à l’aide de WAF : utilisez des pare-feu d’applications web (WAF) pour détecter les activités de connexion suspectes, telles que plusieurs tentatives provenant de la même adresse IP ou de lieux inhabituels.
Mettre en place l’authentification à deux facteurs (2FA) : l’ajout d’une étape d’authentification supplémentaire, comme l’envoi d’un mot de passe à usage unique par e-mail, permet d’empêcher les accès non autorisés, même si les identifiants sont compromis.

Contenu associé