Failles
Bourrage d'identifiants
- attaque par saisie d'authentifiants volés français
- credential stuffing anglais
Le bourrage d’identifiants consiste à automatiser l’utilisation massive de listes d’identifiants volés pour tenter de se connecter à de nombreux services en ligne.
Pour comprendre
Pour tout le monde
Le bourrage d’identifiants, appelé aussi credential stuffing, repose sur l’automatisation d’essais de connexion en utilisant des combinaisons d’identifiants (adresse e-mail ou nom d’utilisateur et mot de passe) récupérées lors de fuites de données. Un script ou un bot parcourt la liste et soumet chaque couple à la page de connexion d’un site cible, cherchant les comptes valides parmi des millions de combinaisons.
Les cybercriminels privilégient cette technique parce qu’elle exploite la tendance des utilisateurs à réutiliser les mêmes mots de passe sur plusieurs services. Une fois un ou plusieurs comptes compromis, ils peuvent usurper l’identité en ligne, effectuer des achats frauduleux ou revendre les accès. Le bourrage diffère d’une attaque par force brute classique qui teste systématiquement toutes les combinaisons possibles ; ici seules les paires déjà connues sont essayées, ce qui rend le processus plus rapide et moins détectable.
Le bourrage d’identifiants n’est pas une tentative de phishing qui cherche à obtenir les informations par tromperie, ni un logiciel espion qui s’installe sur l’appareil. Il ne consiste pas non plus à voler directement des données en interceptant le trafic ; il se limite à tester des identifiants déjà exposés pour accéder illégitimement à un compte.
Un exemple
Dans un magasin de téléphonie à Nouméa, le responsable remarque que le tableau de surveillance indique plusieurs tentatives de connexion depuis des adresses IP situées à l’étranger. L’attaque utilise une liste d’identifiants volés lors d’une fuite de données et essaye automatiquement chaque combinaison sur le compte marchand du magasin, ce qui entraîne le verrouillage du compte après plusieurs échecs.
Les bons réflexes
Vérifiez toujours que l’URL du site commence par https et correspond au domaine officiel avant de saisir vos identifiants ; ne jamais entrer vos données de connexion suite à un lien reçu dans un courriel ou un message.
Activez la double authentification sur les services qui le proposent ; même si un mot de passe est compromis, l’accès supplémentaire via un code ou une notification empêche l’attaquant de se connecter.
Utilisez un gestionnaire de mots de passe pour générer des mots de passe uniques et changez immédiatement ceux qui ont pu être exposés, en vous assurant de mettre à jour tous les comptes où vous avez réutilisé la même combinaison.
À ne pas confondre avec
- Piratage de compteUn piratage de compte (en anglais, account takeover) est un accès sans votre accord à votre compte, pour consulter son contenu, agir à votre place ou vous en exclure.
- Usurpation d’identitéUsurper une identité (en anglais, identity theft), c’est utiliser les informations d’une autre personne pour agir en son nom et faire croire que l’on est elle.
Termes voisins
- Mot de passeUn mot de passe (en anglais, password) est un secret utilisé pour vérifier votre accès à un compte ; sa réutilisation permet parfois d’en ouvrir plusieurs.
- Double authentificationLa double authentification (en anglais, two-factor authentication ou 2FA) exige deux preuves de types différents pour ouvrir un compte, par exemple un mot de passe et la possession d’un téléphone.
- Gestionnaire de mots de passeUn gestionnaire de mots de passe (en anglais, password manager) conserve vos mots de passe dans un coffre chiffré et peut en créer de longs, différents pour chacun de vos comptes.
- Faille de sécuritéUne faille de sécurité (en anglais, security vulnerability) est un défaut de conception, de programmation ou de réglage qui peut permettre de contourner une protection ou de perturber un appareil.