La fin des idées reçues : Êtes-vous réellement protégé contre le « credential stuffing » ?

À l'heure où l'on fournit de plus en plus d'informations aux différents sites Internet ; les hackers et les fraudeurs trouvent de nouvelles manières d'accéder aux informations de connexion importantes.
En utilisant ces informations de connexion volées, les auteurs d'attaques peuvent prendre le contrôle de comptes et voler des données personnelles, ce qui crée un effet boule de neige qui peut s'avérer dévastateur pour votre entreprise.

Testez vos connaissances en matière de « credential stuffing »

Vos utilisateurs risquent non seulement que leurs informations personnelles soient compromises ou volées, mais votre organisation risque également de subir des pertes financières ou une détérioration de l'image de marque catastrophiques. Il est plus important que jamais de bien comprendre la menace du vol d'identifiants.
Testons vos connaissances.

Les informations de connexion d'un employé, si elles sont vendues sur le Dark Web, permettent à un hacker d'accéder à la base de données principale d'une entreprise.

Vrai Faux

C'est vrai. Les hackers obtiennent souvent les informations de connexion d'employés, en général à la suite d'une violation de données, dans le but de s'introduire dans la base de données principale d'une entreprise, contenant les registres des utilisateurs. Conséquence ? Des millions de noms d'utilisateurs, de mots de passe et d'informations personnelles sensibles (date de naissance, numéro de sécurité social et données financières) sont volés à partir de plusieurs sites Web et vendus sur le Dark Web à d'autres fraudeurs.

Les mots de passe sont les informations les plus sensibles que les hackers peuvent voler à vos clients ou vos employés.

Vrai Faux

C'est faux. Les pires violations de données au monde ne sont pas la conséquence d'un simple vol d'informations de connexion. Des centaines de millions de dossiers peuvent être récupérés en une seule violation, chaque dossier contenant le nom d'un individu, sa date de naissance, son numéro de sécurité sociale, son adresse, son numéro de téléphone, son adresse e-mail et même des informations bancaires.

Les stratégies sophistiquées de protection contre les attaques (comme le blocage IP, la limitation du débit, les restrictions JavaScript et l'empreinte de navigateur) sont des solutions efficaces pour se protéger contre le « credential stuffing ».

Vrai Faux

C'est faux. Les bots utilisés pour le « credential stuffing » et la fraude sur le Web comptent parmi les techniques les plus sophistiquées. Même s'il est relativement simple d'arrêter les pirates amateurs et les outils de piratage disponibles en téléchargement (comme Sentry MBA), les fraudeurs trouvent toujours un moyen d'éviter ce type d'outils, souvent en utilisant des bots qui imitent un comportement humain. Le blocage IP, la limitation de débit, les tests JavaScript et l'empreinte de navigateur ne suffisent plus à arrêter ce type d'attaque.

La meilleure façon de réagir lorsqu'un bot est détecté sans qu'il le sache consiste à renvoyer une page « nom d'utilisateur/mot de passe incorrect ».

Vrai Faux

C'est vrai. Même si la détection est importante pour résoudre le problème du « credential stuffing », la réaction proposée est encore plus critique. La capacité à réagir de sorte que l'attaquant n'ait pas conscience qu'il a été détecté peut faire la différence entre la réussite et l'échec. Les fonctionnalités sophistiquées de détection des bots, la capacité d'identifier l'origine du trafic des bots et la création de rapports granulaires sur le trafic des bots peuvent s'avérer des outils précieux pour protéger votre site.

Vous pouvez éviter que les informations d'identification de vos clients soient volées ou compromises en verrouillant le compte ciblé après qu'un nombre anormal de tentatives de connexion aient été détectées.

Vrai Faux

C'est faux. Dans la plupart des cas, les auteurs d'attaque utilisent des dictionnaires de combinaisons de nom d'utilisateur et de mot de passe provenant d'une fuite de données. Les hackers effectuent souvent une seule tentative de connexion par compte. Le verrouillage du compte après une seule tentative est une méthode risquée qui risque de nuire à l'expérience de vos utilisateurs.

L'augmentation du nombre d'adresses IP d'Internet représente le premier facteur qui permet le développement du « credential stuffing ».

Vrai Faux

C'est faux. Même si l'augmentation du nombre d'adresses IP facilite les violations de données, il ne s'agit pas du premier facteur derrière la tendance du « credential stuffing ». Des enjeux plus importants sont en cause. Tout d'abord, les comptes en ligne sont de plus en plus courants dans la vie quotidienne. Ensuite, les hackers ont accumulé d'énormes bases de données d'informations de connexion compromises au fil des ans, et ils ont développé leurs techniques afin de rendre le piratage plus simple et plus rentable.

Lorsque l'on surveille les adresses IP, la détection d'un trop grand nombre de tentatives de connexion est un bon indice d'activité malveillante.

Vrai Faux

C'est vrai. Cinq tentatives de connexion en cinq minutes : ce comportement est suspect. Toutefois, cinq tentatives de connexion en cinq heures peut également représenter le comportement d'un utilisateur légitime, en particulier si plusieurs utilisateurs partagent la même adresse IP. En outre, les mécanismes de surveillance en cours d'exécution utilisent des ressources en termes de processeur et de mémoire, ce qui limite les contrôles de sécurité à surveiller la fenêtre d'activité de connexion (sans dépasser une fenêtre de 60 minutes dans la plupart des cas). Malheureusement, les hackers comprennent ces limites et ont trouvé des moyens de les utiliser à leur avantage.

Mettez fin aux idées reçues, restez informé des dernières tendances

Apprenez-en plus sur la pratique du « credential stuffing » et découvrez comment protéger votre entreprise, votre marque et vos clients.

Découvrez comment