Dans le monde interconnecté et basé sur le cloud d'aujourd'hui, les informations d'identification des utilisateurs sont les clés qui permettent d'accéder à la maison qui stocke le trésor numérique d'une organisation. Tout comme les cambrioleurs crochetent la serrure d'une maison physique, les cybercriminels utilisent des informations d'identification volées pour obtenir un accès non autorisé aux systèmes et réseaux d'une entreprise. De même, les cybercriminels peuvent acheter de gros volumes d'identifiants volés sur le dark web, tout comme les voleurs peuvent acheter des outils de crochetage.
En achetant des listes combinées sur le dark web, les acteurs malveillants peuvent acheter toutes les informations d'identification divulguées nécessaires pour perpétrer leurs attaques.
Qu'est-ce qu'une liste combinée de mots de passe ?
Une liste combinée est une collection de noms d'utilisateur compromis et de leurs mots de passe associés que les acteurs malveillants utilisent pour remplir leurs outils automatisés de force brute. Comme pour tout ensemble de données volumineux, les listes combinées ont plus de valeur lorsqu'elles regroupent plus d'informations d'identification, incorporant généralement des données provenant de plusieurs violations. Ils n'ont pas de format standardisé, comprenant souvent à la fois des formats hachés et en texte clair, et peuvent être organisés par région géographique, secteur ou domaine de premier niveau.
Lors de la détermination de la valeur d'une liste combinée, les attaquants se concentrent sur :
- À quel service les informations d'identification sont liées
- Depuis combien de temps les informations d'identification ont été volées
- Combien de violations sont combinées dans un seul package/liste
Comment les auteurs de menaces utilisent-ils les listes combinées ?
Étant donné que les attaquants traitent la cybercriminalité comme une entreprise, ils souhaitent optimiser leur investissement financier dans les listes combinées en les utilisant de différentes manières.
Attaques basées sur les informations d'identification
Avec les listes combinées, les attaquants peuvent automatiser les méthodes d'attaque basées sur les informations d'identification telles que :
- Forçage brutal
- Pulvérisation de mot de passe
- Bourrage de Credential
- Prise de contrôle de compte
À l'aide d'outils achetés sur le dark web ou d'autres forums illicites, les attaquants testent les informations d'identification volées sur divers sites Web et applications, dans l'espoir de trouver une correspondance et d'obtenir un accès non autorisé à des données sensibles.
Étant donné que les gens réutilisent souvent leurs mots de passe sur plusieurs services, cette approche « pulvériser et prier » réussit souvent. Même si quelqu'un réinitialise le mot de passe d'un service qui a subi une violation de données, il se peut qu'il n'ait pas réinitialisé le mot de passe pour tous les services. Par exemple, quelqu'un peut réutiliser son mot de passe de messagerie d'entreprise pour accéder à un outil de gestion de la relation client (CRM), à un outil de planification des ressources d'entreprise (ERP) ou à un portail de ressources humaines. Les attaquants utilisent l'automatisation pour essayer les informations d'identification de messagerie dans les services commerciaux critiques. S'ils obtiennent un accès direct à un service, ils élèvent les privilèges du compte, obtiennent un accès supplémentaire aux données sensibles, puis les volent.
Attaques d'ingénierie sociale ciblées
Les adresses e-mail ont leur propre valeur unique. Les acteurs malveillants peuvent utiliser la liste combinée pour déployer des attaques d'ingénierie sociale contre les utilisateurs. Étant donné que les adresses e-mail d'entreprise incluent le domaine de l'entreprise, elles peuvent trier les listes pour envoyer des attaques de phishing ciblées. Avec une petite recherche sur les réseaux sociaux, ils peuvent trouver les noms de :
- La haute direction
- Membres de l'équipe informatique
- Personnel des ressources humaines
- Employés du service des finances
Avec cette recherche et les adresses e-mail de la liste combinée, ils peuvent créer des attaques de harponnage. Selon un rapport, les attaques de spear phishing basées sur la réponse qui demandent un virement bancaire ont augmenté de 59 % au T3 2022 par rapport au T2.
Cyber-extorsion
Au cours des dernières années, les attaques de rançongiciels à double extorsion sont devenues la variante prédominante. Les criminels organisent désormais des campagnes à plusieurs niveaux, avec un article notant que 63% des attaques de ransomware incluent le chantage. Avec le d'informations d'identification divulguées contenus dans des listes combinées, les acteurs malveillants peuvent "prouver" qu'ils accèdent au système ou au réseau et inciter les entreprises à les payer, même s'ils n'ont pas déployé d'attaque de ransomware.
Comment atténuer les risques découlant des listes combinées
Comme pour tout le reste de la cybersécurité, la protection de votre organisation contre les risques associés aux listes combinées nécessite une approche à plusieurs volets entre les personnes, les processus et les technologies.
Mettre en œuvre et appliquer les meilleures pratiques de mot de passe
Dans un monde de travail à distance, vos utilisateurs sont votre première ligne de défense. Vous devriez fournir à vos employés une formation de base sur la sensibilisation à la cybersécurité qui aborde les principes fondamentaux d'un mot de passe ou d'une phrase de passe fort :
- Quelque chose d'unique pour l'utilisateur
- Quelque chose de plus de 12 caractères
- Une combinaison de lettres, de chiffres et de caractères spéciaux
De plus, votre formation devrait rappeler aux gens d'utiliser un mot de passe unique pour chaque application personnelle et professionnelle.
Fournir un gestionnaire de mots de passe
Selon rechercher, on s'attend à ce qu'une personne moyenne se souvienne de 100 mots de passe. De plus, ce nombre a augmenté de 25 % entre 2019 et 2020. Pour soutenir vos initiatives de sécurité, vous devez proposer aux employés une technologie de gestion des mots de passe afin qu'ils puissent créer et utiliser des phrases secrètes sécurisées de manière cohérente.
Mettre en œuvre et appliquer l'authentification multifacteur (MFA)
Avec MFA, vous placez une couche supplémentaire autour des connexions. MFA est une combinaison de deux ou plusieurs des éléments suivants :
- Quelque chose qu'une personne connaît (mot de passe/phrase de passe)
- Quelque chose qu'une personne possède (jeton, appareil)
- Quelque chose qu'une personne est (biométrique comme une empreinte digitale ou un identifiant facial)
Lier les informations d'identification d'un utilisateur à quelque chose qu'il possède ou qu'il est empêche les acteurs malveillants de se lancer dans des attaques basées sur les informations d'identification, car ils ne peuvent pas passer cette couche de sécurité supplémentaire.
Surveiller le Web clair et sombre
Bien que vous sachiez peut-être que votre entreprise a subi une violation de données, vous ne connaissez peut-être pas tous les différents sites Web et services que vos employés utilisent pour en faire l'expérience. De plus, vous n'avez peut-être pas de visibilité sur les endroits où vos employés utilisent leur adresse e-mail professionnelle.
Pour atténuer ces risques, vous devez vous engager dans des surveillance du dark web pour identifier les informations d'identification divulguées. Des acteurs malveillants vendent les listes combinées sur le dark web. Avec une solution de surveillance automatisée, vous pouvez cibler vos recherches pour obtenir des alertes pour le domaine principal et les sous-domaines de votre entreprise, vous donnant une visibilité sur les données divulguées que vous ne trouveriez peut-être pas autrement.
Une fois que vous avez trouvé les informations d'identification compromises, vous pouvez travailler avec les employés qui présentent un risque pour réinitialiser leurs mots de passe dans tous les services. De cette façon, vous atténuez les risques liés aux mots de passe réutilisés.
Flare Systems : Atténuation des risques grâce à la surveillance automatisée du dark web
Avec la plate-forme de Flare, vous pouvez mettre en œuvre des stratégies de surveillance Web sombres et claires qui atténuent les risques associés aux informations d'identification divulguées. Grâce à notre système de collecte de données basé sur l'IA, vous pouvez définir des termes de recherche et recevoir des alertes ciblées qui réduisent le bruit et permettent une sécurité plus robuste. La plate-forme de Flare réduit les processus manuels afin que vous puissiez identifier de manière proactive les informations d'identification de compte divulguées ou volées sur les forums Web sombres, les canaux Telegram illicites et les référentiels open source.
Grâce à la large couverture et à la surveillance automatisée de Flare, vous pouvez réduire considérablement le temps et les coûts associés à la surveillance Web sombre et claire tout en améliorant votre posture de sécurité.
Essayez un essai gratuit et démarrez en seulement quinze minutes.
