Qu'est-ce que le Credential Stuffing ? Comment les pirates tentent-ils de ne pas être autorisés ? Logins

Le 25 juin 2020 By Nick Anderson Commentaires 5 minutes

Vos informations d'identification en ligne sont les informations les plus importantes qui vous permettent d'accéder à divers services. Les informations d'identification vérifient la propriété. C'est votre clé d'accès aux plateformes en ligne auxquelles vous vous êtes inscrit. En raison de leur extrême sensibilité, ces informations sont précieuses pour les pirates. Découvrez comment les pirates utilisent le Credential Stuffing pour accéder à vos comptes et comment l'empêcher.

Credential Stuffing

Obtenez FastestVPN

Le credential stuffing expliqué

Le piratage est une pratique consistant à obtenir un accès non autorisé à un système pour effectuer une action de nature néfaste. Vous devez avoir entendu parler de violations de services qui font de temps en temps la une des journaux dans le domaine de la technologie. Il n'est pas rare de voir des rapports concernant le vol de millions de comptes, ce n'est pas rare. L'objectif principal de l'attaque d'un service est d'extraire la base de données qui contient le login informations des utilisateurs.
Même les tentatives déjouées peuvent prendre au moins certaines données. Habituellement, lorsqu'un service est affecté par une violation, il diffuse un communiqué de presse informant le public de l'incident. Il envoie également un e-mail aux utilisateurs enregistrés pour qu'ils modifient immédiatement leurs informations d'identification, car de telles violations emportent au moins une partie de la base de données avec eux avant d'être détectées, et les défenses de sécurité les expulsent.
Mais réinitialiser le mot de passe de ce compte particulier ne devrait pas être la seule chose que vous fassiez.
Une fois qu'une cyberattaque a volé les informations d'identification des utilisateurs, elles seront mises en vente à quiconque est prêt à payer pour cela, sur le Dark Web. Le Dark Web est le lieu où se déroulent toutes sortes d'activités illégales. Vous pouvez en savoir plus sur The Dark Web sur notre blog. Ce ventre d'Internet est l'endroit où les données volées sont mises en vente.
Comme nous l'avons mentionné, la réinitialisation du mot de passe de ce compte ne vous protégera pas complètement des accès autorisés. Les utilisateurs ont tendance à utiliser un seul mot de passe pour plusieurs services. C'est là que Credential Stuffing entre en jeu pour pirater d'autres comptes.
Une fois qu'un pirate obtient des informations d'identification, il exécutera une sorte d'expérience d'essai et d'erreur sur d'autres services pour voir si le mot de passe correspond. Bien sûr, l'insertion manuelle de la liste des utilisateurs et de leurs informations d'identification sur divers autres sites Web prendra beaucoup de temps, de sorte que les pirates délèguent ce travail aux bots.

Les sites Web placent CAPTCHA (Completely Automated Public Turing) pendant login dissuader la masse login tentatives.
Mais même avec des restrictions telles que les délais d'attente et l'interdiction d'IP en place, le Credential Stuffing peut réussir. Les outils qui contournent ces restrictions sautent login tentatives entre plusieurs adresses IP. Ainsi, les pirates peuvent continuer à essayer des mots de passe sans être bloqués.

Le vrai danger est lorsque les informations de carte de crédit sont divulguées en ligne, pas seulement les informations d'identification des plateformes de médias sociaux.
Yahoo est un exemple de cyberattaque. La société de services Internet révélé qu'une violation en 2013 a compromis les informations de 3 milliards d'utilisateurs, ce qui en fait la plus grande violation de données de l'histoire.

Le credential stuffing n'est pas une force brute

Le Credential Stuffing peut sembler être une technique de Brute Force, mais ce n'est pas correct. Brute Force est une technique qui applique des mots de passe générés aléatoirement à un compte jusqu'à ce qu'il trouve la bonne combinaison. La différence avec Credential Stuffing ici est de traiter avec l'inconnu - il n'y a aucune indication ou information sur les informations d'identification du compte. Le Brute Forcing prend beaucoup plus de temps et nécessite beaucoup plus de ressources informatiques. La capacité de calcul affecte directement l'efficacité du Brute Forcing.
Credential Stuffing prend simplement les informations d'identification connues et commence à les appliquer à d'autres services. C'est comme avoir une clé et espérer qu'il y a une autre serrure qui l'accepte.

Comment se défendre contre le credential stuffing

Vous ne pouvez pas faire grand-chose une fois qu'un service a été piraté. Cela dépend entièrement de la capacité du service à protéger vos données.
N'oubliez pas que la génération d'un mot de passe fort ne vous protège que contre la force brute. Les mots de passe qui incluent des lettres majuscules et minuscules, des caractères spéciaux et des chiffres constituent une combinaison puissante.
Cependant, la seule chose que vous pouvez faire – et devriez faire – est de conserver des mots de passe différents pour tous vos comptes. Il est difficile de se souvenir de plusieurs mots de passe qui ont une combinaison unique, donc l'utilisation d'un gestionnaire de mots de passe sera utile. Si le gestionnaire de mots de passe propose une extension de navigateur Web, il remplira automatiquement les informations d'identification pour vous à login.
En plus des mots de passe forts et uniques, activez l'authentification à deux facteurs (2FA). La fonction est une défense solide contre les logins et ajoute une deuxième couche de vérification. Bien que cela vous oblige à avoir un numéro actif avec vous à tout moment, les avantages l'emportent largement sur les tracas. Après la première authentification à deux facteurs, vous pouvez choisir d'autoriser les futures logins du même appareil ou conserver le 2FA pour chaque login.
Certains services vous informeront s'il y a eu un login tentative à partir d'un appareil inconnu.
Mais une faille de sécurité n'est pas le seul moyen pour les pirates d'accéder aux informations d'identification. Une sécurité faible sur Internet peut permettre aux pirates d'intercepter des paquets de données. L'exemple le plus frappant est la façon dont les points d'accès Wi-Fi publics peuvent être utilisés pour effectuer un Man-in-the-Middle attaque. Des réseaux non sécurisés ou une connexion non sécurisée entre le site Web et l'utilisateur peuvent donner une chance aux pirates.
La plupart des sites Web utilisent aujourd'hui HTTPS pour sécuriser les communications Internet avec le cryptage. Cependant, un VPN crypte chaque trafic sortant, y compris pour les sites Web qui utilisent uniquement HTTP. FastestVPNLe cryptage de niveau militaire de garantira la sécurité lors de la navigation sur des réseaux non sécurisés lors de vos déplacements.

Conclusion

Cela dit, les perspectives ne sont pas aussi troublantes qu'il y paraît. On estime que moins de 0.5 % des tentatives de Credential Stuffing réussissent. Mais cela ne doit pas vous empêcher de prendre des précautions. N'utilisez jamais un mot de passe sur plus d'un site Web ; c'est la règle que tu dois suivre.