Lorsqu'il s'agit de protéger votre identité numérique, il peut être difficile de savoir contre quoi vous vous défendez. Les objectifs, les victimes et les techniques des attaquants varient considérablement, et cette incertitude n'a fait que croître à mesure que les acteurs malveillants profitent du chaos du COVID-19 pour voler toutes les données sur lesquelles ils peuvent mettre la main. Cela dit, la seule certitude que nous connaissons est que le vol et l'utilisation abusive d'informations d'identification sur Internet sont impliqués dans près de 81% des violations liées aux pirates informatiques, ce qui en fait l'une des attaques les plus courantes au monde.
A propos de l'auteur
Nic Sarginson est ingénieur de solutions senior pour UKI et RSA chez Yubico
Sommaire
Les clés du château
Une fois qu'un cybercriminel a les informations d'authentification de quelqu'un, il dispose des outils pour déverrouiller toute l'identité numérique de sa victime. Donc, si les dommages potentiels sont si importants, pourquoi ces informations d'identification sont-elles si faciles à voler?
Mots de passe faibles
Les attaquants essaient des mots de passe communs avec des noms d'utilisateur spécifiques ou communs, et cela peut être étonnamment réussi. Malheureusement, la plupart des gens ont du mal à créer ou à se souvenir de mots de passe forts. En conséquence, les gens choisissent souvent mots de passe et les modifie rarement. En fait, des recherches récentes ont révélé qu’un mot de passe sur 142 est «123456» et que 23,5 millions de comptes piratés ont utilisé «123456» comme mot de passe.
Utilisation abusive de la réutilisation de mot de passe (bourrage des informations d'identification)
Les attaquants récupèrent régulièrement les informations d'identification volées sur un site et les essaient sur un autre, car il est très courant que les gens utilisent la même combinaison de nom d'utilisateur et de mot de passe, ou une variante, sur plusieurs sites. En fait, plus de 44 millions de titulaires de comptes Microsoft utilisent des mots de passe recyclés! Ce problème est exacerbé par le grand volume d'informations d'identification volées disponibles à la vente sur le dark web.
Attaques de Man in the Middle (MitM)
Parfois, les attaquants ont accès au chemin réseau entre l’ordinateur de leur victime et le site auquel ils accèdent. Cela peut permettre à l'attaquant de voir à quels sites quelqu'un accède et de voler ses données si la connexion n'est pas chiffrée ou si la victime pense que le système ou le site malveillant est légitime.
Hameçonnage
Le phishing utilise généralement un prétexte pour convaincre une personne de révéler ses informations d'identification directement ou de visiter un site qui fait de même. Les attaquants le font par vérification par SMS, e-mail, téléphone, messagerie instantanée, réseaux sociaux, sites de rencontres, courrier physique ou par tout autre moyen disponible.
Exploitation de récupération de compte
Malheureusement, les flux de récupération de compte peuvent être beaucoup plus faibles que le canal d'authentification principal. Par exemple, il est courant que les entreprises déploient des solutions d'authentification forte à deux facteurs (2FA) comme méthode principale pour laisser les SMS en guise de sauvegarde. Alternativement, les entreprises peuvent simplement autoriser le personnel du service d'assistance à réinitialiser les informations d'identification ou définir des codes de contournement temporaires avec un simple appel téléphonique et peu ou pas d'exigences de vérification d'identité.
Défendre votre domaine
Une fois que vous avez reconnu ces méthodes de vol d'informations d'identification, vous pouvez commencer à identifier comment les mauvais acteurs peuvent facilement accéder à votre identité numérique. Voici quelques étapes simples que vous pouvez commencer à mettre en œuvre dès aujourd'hui pour arrêter ces méthodes de vol d'informations d'identification:
Gérez correctement vos mots de passe
Il est important d’être aussi diligent que possible dans la création des mots de passe les plus forts et leur gestion sécurisée. Idéalement, les mots de passe forts devraient être générés aléatoirement. Au minimum, évitez d'utiliser des informations sur vous-même ou sur vos amis et votre famille, telles que les anniversaires, les équipes sportives, les noms d'animaux, etc. Ne réutilisez jamais les mots de passe entre les sites. Oui, cela signifie que vous aurez besoin d'un mot de passe différent pour chaque compte que vous possédez. Comme meilleure pratique, utilisez un gestionnaire de mots de passe pour générer et stocker des mots de passe en toute sécurité.
Utiliser l'authentification à deux facteurs (2FA)
Même les noms d'utilisateur et les mots de passe les plus forts sont sujets à des compromis. Pour éviter cela, activez toujours 2FA dans la mesure du possible pour vous assurer qu'une autre forme d'identité – au-delà d'un nom d'utilisateur et d'un mot de passe – est nécessaire pour accéder à votre compte. Quoi que vous fassiez, n'activez pas les codes SMS comme deuxième forme d'authentification. L'Institut national des normes et de la technologie (NIST) a récemment rendu ces derniers très inefficaces. Alors que certains services nécessitent l'utilisation de SMS pour configurer initialement 2FA, vous pouvez choisir de désactiver SMS après avoir configuré d'autres facteurs, tels que les clés de sécurité.
Vérifiez avant de cliquer
Pour vous protéger contre le phishing par e-mail, assurez-vous qu'un e-mail est légitime en vous demandant: Reconnaissez-vous l'adresse e-mail? Y a-t-il des fautes d'orthographe dans l'e-mail? Le lien ou l'attachement a-t-il un sens? En ce qui concerne les sites Web et les liens, vérifiez la sécurité HTTPS, qui indique que la page Web sur laquelle vous vous trouvez est sécurisée et peut être fiable avant de saisir des informations sensibles. HTTPS sera répertorié dans l'URL elle-même et la barre affichera également un petit cadenas indiquant «sécurisé» à côté. De plus, votre banque ne vous enverra pas d'e-mail contenant un lien de réinitialisation du mot de passe, utilisez toujours votre application bancaire mobile officielle ou assurez-vous d'aller directement sur le site Web de la banque.
Méfiez-vous des réseaux
Le Wi-Fi public ne se qualifie pas comme un réseau sécurisé et, par conséquent, donne aux pirates un plus grand avantage pour voler des informations ou pousser des attaques malveillantes. Si vous devez utiliser le Wi-Fi public, restez fidèle aux sites qui ne traitent pas d'informations sensibles. Lorsque cela est possible, évitez toujours le Wi-Fi public et utilisez d'autres solutions telles qu'un hotspot personnel sécurisé ou une solution VPN. Un VPN rendra difficile pour les tiers de déterminer votre identité ou votre emplacement. Cependant, avec le monde qui s'adapte au travail à domicile, un nombre record de personnes utilisent un VPN pour accéder au réseau d'entreprise, ce qui les met à rude épreuve. Vous pouvez également sécuriser l'accès VPN avec MFA pour vous assurer que vos informations personnelles et professionnelles sont protégées.
Ne divulguez pas d'informations sensibles
Toute information peut faciliter le travail d’un pirate informatique. Cela peut sembler évident, mais à l'ère des médias sociaux, ne mettez aucune information que vous ne donneriez pas à un inconnu sur vos profils publics. Avec COVID-19, ce qui signifie que plus de gens travaillent à domicile, il y a une plus grande tentation de remplir ce message de la chaîne Facebook qui comprend la divulgation de votre lieu de naissance et de votre premier animal de compagnie! En effet, le National Cyber Security Center a récemment lancé une nouvelle campagne de protection contre de telles menaces.
Développez votre routine numérique
S'armer avec les bons outils est une première étape importante dans la protection de votre identité numérique, mais il est également important de rester informé des derniers développements. Les violations de données majeures sont toujours couvertes par l'actualité, c'est donc souvent un bon endroit pour garder le pouls de toute attaque qui aurait pu compromettre vos informations personnelles.
Si vous pensez que vous êtes une cible ou que vous avez déjà été compromis, donnez la priorité à la modification de tous vos mots de passe. Ensuite, assurez-vous d'intégrer les mesures de sécurité nécessaires dans votre routine numérique quotidienne pour vous assurer que votre identité est correctement protégée.
