Qu'est-ce qu'une attaque par force brute ?

• Menaces
• Qu'est-ce qu'une attaque par force brute ?

Qu'est-ce qu'une attaque par force brute ?

La force brute est un type de cyberattaque qui procède par tâtonnement pour tenter de deviner des identifiants, des clés de sécurité ou d'autres données sensibles. Les attaques par force brute sont incroyablement efficaces, compte tenu du fait que 65 % des gens réutilisent des mots de passe. La réutilisation de mots de passe est une pratique dangereuse et courante, et il suffit d'un seul mot de passe compromis pour exposer un système entier ou un groupe d'identifiants.

Les attaques par force brute sont perpétrées contre les entreprises comme les particuliers, car malheureusement, même les employés réutilisent les mots de passe. Le coût moyen d'une cyberattaque réussie se chiffre en millions de dollars, et les attaques par force brute sont de plus en plus fréquentes, car de plus en plus d'entreprises adoptent définitivement le télétravail.

Fonctionnement des attaques par force brute

Les attaques de mots de passe par force brute s'appuient sur un logiciel qui « devine » les identifiants. Les attaques par force brute essaient par tâtonnement des expressions courantes du dictionnaire, des mots de passe couramment utilisés ou bien encore des combinaisons spécifiques de lettres et de chiffres jusqu'à ce qu'elles aboutissent à un résultat concluant.

Types d'attaque par force brute

Attaques par force brute simples

Les attaques par force brute simples consistent à essayer par tâtonnement différentes combinaisons pour deviner les identifiants de connexion. L'attaquant utilise un ordinateur très puissant pour essayer toutes les combinaisons de lettres, de chiffres et de symboles possibles. Bien que cela puisse sembler inefficace, certains ordinateurs peuvent traiter des trillions de combinaisons à la fois.

Attaques par dictionnaire

Les attaques par dictionnaire s'appuient sur des mots ou des phrases simples du dictionnaire pour trouver les identifiants de l'utilisateur. Il est conseillé d'éviter les mots ou les phrases figurant dans le dictionnaire, car ceux-ci pourraient être utilisés par une attaque par force brute par dictionnaire et permettre de pirater le mot de passe.

Attaques par force brute hybrides

En utilisant une logique externe, le logiciel devine les mots de passe qui auront le plus de succès, puis utilise la force brute pour appliquer chaque combinaison.

Attaques par force brute inversées

Cette méthode repose sur une sélection de quelques mots de passe courants. Les listes de mots de passe courants sont assez faciles à trouver en ligne. Voici par exemple une liste de 10 000 mots de passe. L'attaque par force brute inversée utilise une liste comme celle-ci pour tester ces mots de passe courants avec de nombreux comptes en espérant que certains fonctionneront.

Credential Stuffing

Le « credential stuffing » est l'une des méthodes de force brute les plus efficaces. Il est possible d'acheter des listes de mots de passe piratés sur le dark web. Celles-ci sont ensuite utilisées par les cybercriminels pour tester massivement des identifiants sur des dizaines de sites web et voir si certains aboutissent. Souvent, les utilisateurs ne modifient pas les mots de passe de tous leurs comptes, même s'ils ont déjà été piratés.

Pourquoi les attaques par force brute constituent une menace

Les attaques par force brute constituent une cybermenace particulièrement dangereuse, car elles permettent à un cybercriminel d'accéder par effraction à plusieurs comptes à la fois. Les méthodes comme le credential stuffing permettent d'attaquer des milliers de comptes à la fois et statistiquement, il y en aura toujours au moins un qui reconnaîtra les identifiants.

Une fois les identifiants vérifiés, les cybercriminels peuvent accéder à toutes sortes de comptes, des réseaux sociaux aux comptes bancaires en passant par les comptes gouvernementaux et professionnels contenant des informations sensibles.

Comment le télétravail a augmenté les attaques par force brute

La pandémie de COVID-19 a contraint des milliers d'entreprises à passer au télétravail jusqu'à nouvel ordre. Il s'agit de l'une des plus incroyables expériences commerciales de l'histoire. Des entreprises qui jusque-là avaient toujours refusé le concept de télétravail ont été placées devant un dilemme difficile : s'adapter ou disparaître. Et en effet, des milliers d'entreprises ont disparu, et celles qui sont toujours là ont été confrontées à de nouveaux défis dans le domaine de la cybercriminalité.

De janvier à décembre 2020, les attaques par force brute sont passées d'environ 200 000 à plus de 1,4 million dans le monde. Le télétravail en étant à ses balbutiements pour nombre d'entreprises, les cybercriminels ont trouvé là une opportunité parfaite pour profiter des ordinateurs non sécurisés fonctionnant à distance et des mauvaises pratiques en matière de gestion de mots de passe.

Comment prévenir les attaques par force brute

Utiliser des outils automatisés

Vous pouvez prévenir les attaques par force brute à l'aide d'outils automatisés sophistiqués. Grâce à ces outils, les entreprises combattent déjà les attaques par force brute et d'autres menaces liées aux logiciels malveillants. La détection des menaces devient de plus en plus sophistiquée. Elle dépend de plus en plus de la technologie de l'IA pour détecter, prévenir et éliminer les menaces avant qu'elles ne fassent des dégâts.

La protection par les robots peut aider à surveiller le trafic web pour détecter les activités suspectes et bloquer des utilisateurs en cas de suspicion d'attaque. Les robots peuvent également déceler les activités suspectes comme les tentatives de connexion multiples et prévenir la victime avant que l'attaque ne soit perpétrée.

Les attaques par force brute sont simples, mais souvent efficaces, surtout si le particulier ou l'entreprise n'a pas mis en place les bonnes protections.

Supprimer les comptes inactifs

Lorsqu'un employé quitte l'entreprise, il est important de supprimer entièrement son compte pour éviter les connexions non autorisées. Même si le compte d'un employé est désactivé, il constitue quand même un point d'entrée potentiel pour les cybercriminels. Les comptes inactifs doivent être résiliés dès que possible et leurs identifiants supprimés du système.

Exiger la 2FA/MFA sur tous les comptes

L'authentification à deux facteurs ou multifacteur peut être salvatrice en cas d'attaque par force brute. Lorsqu'un mot de passe est utilisé à partir d'un appareil suspect ou non documenté, une étape d'authentification supplémentaire se déclenche. Il peut s'agir d'un lien de vérification par SMS ou par e-mail, d'une entrée biométrique ou d'une autre méthode. Cela ajoute une couche de protection supplémentaire à chaque compte.

Les outils 2FA et MFA sont souvent intégrés aux plateformes de gestion de mots de passe et autres outils de cybersécurité. Les administrateurs système devraient envisager d'exiger la MFA ou la 2FA pour chaque compte du système afin d'ajouter une couche de sécurité importante.

Limiter les tentatives de connexion

Les attaques par force brute reposent sur la multiplication des tentatives de connexion. Le piratage par force brute est limité lorsqu'il ne peut effectuer qu'un nombre limité de tentatives. Trois tentatives de connexion constituent un bon point de départ. C'est suffisant pour laisser un peu de marge à quelqu'un qui se trompe vraiment dans ses informations de connexion tout en permettant de bloquer les menaces potentielles avant qu'elles ne devinent le mot de passe. Après trois tentatives infructueuses, verrouillez entièrement le compte et demandez que l'accès soit rétabli par un administrateur système après vérification de l'identité de l'utilisateur.

Ralentir les connexions

Vous pouvez également ralentir les tentatives de connexion, en imposant un compte à rebours entre les connexions infructueuses. Associée à une limite de connexion, cette méthode permet de stopper une attaque par force brute après trois tentatives et limite la vitesse à laquelle le cybercriminel peut saisir des informations. Cela permet également de signaler à l'administrateur toute activité suspecte.

Garantir que vos mots de passe sont complexes et uniques

En vous assurant que vous utilisez un mot de passe complexe et individuel pour chacun de vos comptes, vous compliquez la tâche des cybercriminels qui tentent de deviner vos mots de passe. Utilisez toujours des mots de passe composés de lettres, chiffres et symboles. Plus ils sont complexes, plus ils seront difficiles à deviner.

Vous pouvez utiliser un outil de création de mots de passe pour vous aider à générer des mots de passe complexes et uniques pour tous vos comptes.