L'économie souterraine des mots de passe volés

Récemment, une violation de données chez Roku aurait compromis plus de 15 000 comptes d'utilisateurs dans le cadre d'une attaque par bourrage d'identifiant. Lors d'un incident ultérieur, Roku a révélé que des pirates avaient accédé à environ 576 000 comptes supplémentaires.

Mais comment ces données sont-elles volées initialement ? Et qu'advient-il de ces données lorsqu'elles tombent entre les mains de cybercriminels ? Voyons cela de plus près.

Comment les mots de passe et les données personnelles sont-elles volées

Les cybercriminels ont recours à plusieurs moyens pour s'emparer des mots de passe et des informations personnelles :

Stealers

Les stealers sont un type de logiciel espion malveillant spécialement conçu pour récupérer les mots de passe, les numéros de cartes bancaires, les clés de portefeuilles cryptographiques et d'autres données précieuses sur les ordinateurs infectés. Ils se propagent souvent par le biais d'e-mails d'hameçonnage qui incitent les utilisateurs à télécharger des pièces jointes malveillantes, ou via des sites web compromis qui installent secrètement les logiciels malveillants lorsqu'ils sont visités. Une fois qu'un stealer infecte un système, il analyse minutieusement les navigateurs, les fichiers et les applications de la victime, à la recherche de toutes les informations sensibles qu'il peut trouver. Ces données sont ensuite transmises silencieusement aux serveurs de l'attaquant, où elles sont collectées et organisées pour être vendues sur des forums et des réseaux de cybercriminalité.

Malwares

En plus des stealers, d'autres types de logiciels malveillants tels que les chevaux de Troie, les logiciels espions et les enregistreurs de frappe peuvent également être utilisés pour voler des mots de passe et des données personnelles. Ces programmes malveillants se font souvent passer pour des logiciels légitimes, incitant les utilisateurs à les installer par le biais de fausses mises à jour ou d'opérations d'ingénierie sociale convaincantes. Une fois sur un système, ce logiciel malveillant fonctionne discrètement en arrière-plan, enregistrant toutes les frappes de clavier de la victime, effectuant des captures d'écran périodiques et siphonnant même les fichiers et les données au fur et à mesure qu'ils sont consultés. Au fil du temps, l'attaquant peut établir un profil complet des activités en ligne et des informations sensibles de la victime, et ce à son insu.

Bases de données

Une autre façon courante de voler des données consiste à utiliser des bases de données non sécurisées et des référentiels de code qui sont publiquement exposés sur Internet. De nombreuses entreprises configurent mal par inadvertance leur stockage sur le Cloud ou laissent en place des contrôles d'accès par défaut, ce qui permet à toute personne tombant par hasard sur la base de données d'en consulter et d'en télécharger le contenu.

Les attaquants parcourent régulièrement Internet à la recherche de ces ressources exposées et s'emparent de toutes les données sensibles qu'ils peuvent trouver. Dans certains cas, ces bases de données non sécurisées contiennent d'énormes quantités de mots de passe d'utilisateurs, de détails personnels et même d'informations financières, prêts à être exploités.

Si vous regardez ci-dessus, vous verrez un site web qui vous permet d'explorer et de sécuriser les dépôts exposés publiquement. Cette plateforme offre une interface complète pour identifier et gérer les espaces de stockage accessibles au public, souvent utilisés dans les services en nuage tels que AWS S3, Google Cloud Storage et Azure Blob Storage.

L'économie souterraine des données volées

Que se passe-t-il donc une fois que les mots de passe et les informations personnelles ont été dérobés lors d'une violation de données ? Elles se retrouvent rapidement sur le dark web et les forums de cybercriminalité, où il existe une économie souterraine florissante pour le commerce des données volées.

Si vous parcourez ces réseaux illicites, vous trouverez des sections entières consacrées aux fuites de données, où les cybercriminels achètent, vendent et partagent des mots de passe et des dossiers personnels volés toutes les heures.

Les bases de données tout juste piratées sont souvent vendues aux enchères au plus offrant ou à un prix fixe par enregistrement, en fonction de la valeur perçue des données. Une base de données contenant des informations financières détaillées ou des profils d'identité complets, par exemple, atteindrait un prix beaucoup plus élevé qu'une simple liste d'adresses électroniques et de mots de passe.

Certains cybercriminels entreprenants vont même jusqu'à donner gratuitement des bases de données volées, les utilisant comme une sorte de « produit d'appel » pour asseoir leur réputation et leur notoriété sur les forums. Ces sections « offres gratuites » sont remplies de messages de hackers qui cherchent à montrer leurs compétences et à gagner en influence auprès de leurs pairs. Pour eux, le prestige et la notoriété valent plus que l'argent qu'ils auraient pu gagner en vendant les données.

Mais au-delà des fuites individuelles à vendre, il existe également des compilations massives qui regroupent des données provenant de multiples violations dans des bases de données pratiques et consultables. Des acteurs malveillants pourraient acheter des crédits pour effectuer des requêtes ciblées, en recherchant des informations sur des individus spécifiques dans toutes les données de violation collectées par le service. Cela pourrait leur permettre d'établir des profils étonnamment détaillés sur des cibles potentielles, en corrélant des données provenant de dizaines de fuites différentes pour constituer un dossier complet. Voici quelques exemples de ces services de compilation de bases de données* :

1. DeHashed

Un service de compilation de bases de données tristement célèbre qui se targue de posséder plus de 14 milliards d'enregistrements provenant de milliers de violations. DeHashed propose une interface de recherche conviviale qui pourrait permettre aux acteurs malveillants rechercher rapidement des personnes spécifiques et consulter toutes les données volées qui leur sont associées, y compris les mots de passe, les adresses, les numéros de téléphone et bien d'autres choses encore.

2. Leaked.Domains

Nouvel acteur dans le domaine de la compilation de bases de données, Leaked.Domains adopte une approche légèrement différente en organisant ses données autour de violations de sites web spécifiques. Des acteurs malveillants pourraient rechercher un domaine particulier et voir toutes les données associées qui ont été divulguées à partir de ce site, ce qui permettrait de cibler facilement les utilisateurs de services spécifiques.

Comment les données volées compromettent les entreprises

Maintenant que nous comprenons le cycle de vie des données volées, vous vous demandez peut-être comment une pile de mots de passe et d'informations personnelles piratés peut être utilisée pour compromettre une entreprise ? Prenons un exemple fictif.

Supposons qu'un pirate informatique veuille s'attaquer à une grande entreprise de télécommunications figurant au classement Fortune 500. La première chose à faire est de rechercher des comptes apparentés dans plusieurs services de compilation de bases de données. Après avoir dépensé quelques crédits, nous découvrons des centaines de milliers de résultats : adresses électroniques, mots de passe et autres données personnelles associées à leurs employés et utilisateurs.

Nous pourrions prendre toutes ces données et les télécharger dans une feuille de calcul pour les analyser en vue d'une utilisation potentielle dans le cadre d'une attaque. Dans de nombreux cas, l'entreprise victime de la violation ne se rend même pas compte que ces informations sensibles sont dans la nature, ce qui nous donne un avantage considérable.

Une tactique évidente consisterait à tester les mots de passe exposés et à voir si l'un d'entre eux nous permet de nous connecter à des comptes d'employés réels. Les êtres humains aiment avoir des habitudes et, bien qu'ils en connaissent les riques, de nombreuses personnes réutilisent les mêmes mots de passe pour plusieurs services. Il suffit qu'un seul employé le fasse pour que nous puissions mettre un pied dans l'entreprise.

Mais même si aucun des mots de passe ne fonctionne, nous disposons toujours d'une mine d'informations potentiellement utiles à portée de main. Il se peut que l'adresse IP ou le numéro de téléphone d'un employé figure dans les données de la violation. Nous pourrions rechercher ces mêmes informations dans toutes les autres bases de données volées, à la recherche de tout autre compte associé à ces données personnelles.

Par exemple, si nous trouvons l'adresse personnelle de l'employé liée à un compte sur un forum aléatoire, et que ce forum a également fait l'objet d'une violation, nous pourrions maintenant avoir accès à une autre série de mots de passe à essayer sur le compte de l'employé. Nous pouvons également utiliser les informations que nous avons recueillies pour élaborer un e-mail de phishing ou un schéma d'ingénierie sociale très convaincant, afin d'amener l'employé à nous donner directement accès aux informations.

Petit à petit, nous pouvons établir des profils et des dossiers sur nos cibles au sein de l'entreprise, ce qui nous permet de nous intégrer dans l'entreprise et d'élargir notre accès. À partir de là, nous pouvons lancer d'autres attaques pour compromettre les serveurs, voler le code source ou implanter des logiciels malveillants dans le réseau de l'entreprise. Tout a commencé par une collecte de mots de passe et de données personnelles volés.

Empêcher la réutilisation des mots de passe et protéger les comptes

Une fois que votre mot de passe a été divulgué sur le dark web, il est compromis pour toujours. Grâce aux services de compilation de bases de données, les pirates peuvent facilement acquérir d'énormes quantités d'informations personnelles identifiables pour cibler les victimes. La clé de votre protection et de celle de votre entreprise est l'utilisation de mots de passe forts et uniques pour chaque compte.

Mais créer et mémoriser des mots de passe complexes pour des dizaines de comptes peut être difficile. C'est là qu'un gestionnaire de mots de passe devient utile. Un gestionnaire de mots de passe génère, stocke et remplit automatiquement des mots de passe forts, ce qui vous permet d'utiliser facilement des identifiants uniques et difficiles à pirater pour chaque connexion.

L'un des meilleurs gestionnaires de mots de passe sur le marché est NordPass, créé par l'équipe de confiance derrière NordVPN. NordPass offre un ensemble de fonctionnalités qui en font le choix idéal pour sécuriser vos comptes, comme la génération de mots de passe forts, le cryptage sécurisé et une fonction de remplissage automatique facile.

En utilisant un tel gestionnaire de mots de passe, vous pouvez vous assurer que chacun de vos comptes est protégé par un mot de passe fort et unique. Même si l'un de vos mots de passe fait l'objet d'une fuite de données, les autres comptes resteront sécurisés.

NordPass surveille également les fuites dans les bases de données et vous alerte si l'une de vos données est détectée. Cette fonction de contrôle des violations fait partie intégrante du Data Breach Scanner (Analyse de fuites de données), conçu pour contrôler de manière proactive les adresses électroniques et les détails des cartes bancaires stockés dans votre compte NordPass. L'application émet des notifications précises lorsque l'un des éléments que vous avez enregistrés apparaît dans une violation de données.

Un dernier conseil pour identifier les fuites de données potentielles est d'utiliser des pseudonymes uniques lors de l'inscription à des services en ligne. En ajoutant une balise "+service" à votre adresse électronique (par exemple, [email protected]), vous pouvez créer un identifiant différent pour chaque compte. Si cet alias spécifique commence à recevoir des spams ou apparaît dans une base de données de violations, vous saurez exactement quel service a été compromis.

Gardez à l'esprit que tous les sites web n'autorisent pas ces adresses électroniques avec un alias et qu'un attaquant avisé pourrait toujours identifier l'adresse électronique principale en supprimant la partie "+service". Mais cela reste une astuce utile pour savoir lesquels de vos comptes ont pu faire l'objet d'une fuite de données.

En tant que chef d'entreprise, vous pouvez mandater l'utilisation d'un gestionnaire de mots de passe. Pour un essai gratuit de 3 mois du forfait NordPass Business, cliquez ici pour commencer dès aujourd'hui. Utilisez le code « danielk » ; aucune carte bancaire n'est requise.

Essai gratuit de 3 mois de NordPass Business

Aucune carte bancaire n’est nécessaire. Utilisez le code DANIELK

Essai gratuit

* Les exemples sont fournis à titre informatif et éducatif uniquement. Le NordPass n'approuve pas, ne promeut pas et ne soutient pas leur utilisation et n'a aucune affiliation avec ces groupes. Il est vivement conseillé aux lecteurs de se conformer à toutes les lois et réglementations applicables. Toutes les marques mentionnées sont la propriété de leurs détenteurs respectifs.