Qu’est-ce que l’injection massive d’identifiants et comment pouvez-vous protéger vos comptes contre elle ?

Le remplissage automatique des identifiants, ou l’utilisation d’informations de connexion compromises pour prendre le contrôle des comptes, existe depuis aussi longtemps que nous utilisons des mots de passe pour sécuriser nos comptes. Mais, peut-être en partie parce qu’il est devenu plus facile pour les pirates informatiques d’effectuer ce type d’attaque, le remplissage automatique des identifiants a fait les gros titres ces derniers mois. Regardez la violation de données chez 23andMe qui a affecté près de 7 millions d’utilisateurs. Bien que tous les comptes n’aient pas été compromis par le remplissage automatique des identifiants, c’est ainsi que les pirates ont initialement réussi à entrer, puis ils ont utilisé une fonctionnalité sociale appelée « DNA Relatives » pour continuer. Les pirates ont eu accès à des informations sensibles telles que les noms complets et les emplacements, en ciblant spécifiquement des groupes tels que les Ashkénazes, en proposant les données à la vente en gros en ligne. Le piratage évoque une image de cambriolages sophistiqués et high-tech, mais ce qui rend le remplissage automatique des identifiants si lucratif, c’est qu’il est étonnamment « assez peu sophistiqué », a déclaré Rob Shavell, PDG du service de suppression d’informations personnelles en ligne DeleteMe, à Engadget. Les pirates informatiques utiliseront des suppositions éclairées pour deviner votre mot de passe ou simplement acheter d’anciens mots de passe divulgués en ligne pour voir s’ils fonctionnent pour différents comptes. Les tactiques utilisées par les pirates informatiques incluent l’utilisation d’informations personnelles trouvées en ligne pour deviner des mots de passe ou demander à un programme d’intelligence artificielle générateur de créer des variations utilisables sur un mot de passe afin de s’introduire dans un compte. Les entreprises échouent fréquemment à protéger vos données, vous laissant le fardeau de prévenir au mieux les comptes de remplissage automatique des identifiants. En fait, le remplissage automatique des identifiants est devenu si répandu que vous êtes probablement déjà victime. Près d’un quart de toutes les tentatives de connexion l’année dernière répondaient aux critères du remplissage automatique des identifiants, selon le rapport 2023 de la société de sécurité Okta sur l’état de l’identité sécurisée, qui a interrogé plus de 800 responsables informatiques et de sécurité dans différents domaines. L’analyse des violations de données de Verizon pour 2023 a révélé qu’environ la moitié des violations impliquaient des informations d’identification volées. Vérifier une adresse e-mail sur des sites comme Have I Been Pwned peut vous montrer quels mots de passe ont peut-être été compromis, ce qui signifie que si vous les avez réutilisés sur un autre compte, il est probable que les pirates essaient de les utiliser pour s’introduire. Le remplissage automatique des identifiants fonctionne parce que nous avons tendance à suivre certains schémas lors de la création de mots de passe, comme utiliser le nom de jeune fille de votre mère ou une adresse d’enfance, avec de petites variations pour les rendre plus faciles à retenir. « Parce que nous sommes paresseux et que nous avons maintenant 50 mots de passe, il est courant de choisir un seul mot de passe et de l’utiliser à plusieurs endroits », a déclaré Steve Winterfeld, directeur de la sécurité des informations chez Akamai. « Le problème est que vous ne prenez alors pas les mesures de sécurité appropriées. »