Comment détecter, prévenir et atténuer une attaque de piratage de compte (ATO)
Pour une entreprise, se prémunir contre l'attaque par prise de contrôle de compte (ATO), une forme d'escroquerie très répandue, est tout à fait réalisable en appliquant quelques principes fondamentaux.
L'après-midi du 30 août 2019, les abonnés de Jack Dorsey sur Twitter (désormais X) ont vécu un moment étrange. Son compte s'est emballé pendant environ 20 minutes, publiant des tweets aux propos racistes et d'autres messages choquants.
Ses admirateurs auraient pu penser à une crise inhabituelle de la part du PDG de cette plateforme de microblogging influente. Cependant, le groupe à l'origine de cet acte, le "Chuckling Squad", avait glissé des liens vers leur serveur Discord au sein des tweets frauduleux du compte de Jack.
Twitter (actuellement X) a par la suite confirmé l'incident.
Nous sommes conscients que @jack a été compromis et nous enquêtons sur les circonstances.
– Communications Twitter (@TwitterComms) 30 août 2019
Il s'agissait d'une attaque ATO typique, plus précisément un cas de Sim Swapping. Des pirates ont pris le contrôle du numéro de téléphone de Jack à distance et ont tweeté via un service tiers, Cloudhopper.
Si le PDG d'une entreprise technologique de renom peut être victime de cela, quelles sont les chances pour un utilisateur ordinaire ?
Analysons ensemble les diverses formes d'ATO et les moyens de sécuriser votre organisation.
Qu'est-ce qu'une attaque ATO ?
Une attaque par prise de contrôle de compte (ATO) consiste, comme l'indique son nom, à utiliser différentes méthodes (détaillées plus loin) pour accéder illégalement au compte en ligne d'une victime. Les objectifs sont multiples : arnaques financières, accès à des informations confidentielles, usurpation d'identité, etc.
Comment une attaque ATO fonctionne-t-elle ?
Le cœur d'une attaque ATO est le vol des identifiants de connexion. Les cybercriminels utilisent diverses tactiques pour y parvenir :
- Ingénierie sociale : Elle consiste à manipuler psychologiquement une personne pour qu'elle divulgue ses informations d'identification. Cela peut se faire par une fausse assistance technique ou une urgence fabriquée, laissant peu de temps à la victime pour une réflexion rationnelle.
- Credential Stuffing : C'est une forme de force brute où l'escroc tente d'utiliser des informations d'identification aléatoires, souvent obtenues lors de violations de données ou achetées sur le dark web.
- Logiciels malveillants : Des programmes dangereux peuvent réaliser diverses actions sur votre ordinateur, notamment voler les identifiants de compte et les envoyer au cybercriminel.
- Phishing : Cette cyberattaque courante débute souvent par un simple clic. Il redirige l'utilisateur vers une page contrefaite où il saisit ses informations, ouvrant ainsi la voie à une attaque ATO.
- MITM (Man-in-the-Middle) : Cette attaque consiste pour un pirate expérimenté à intercepter votre trafic réseau. Il peut ainsi voir tout ce que vous saisissez, y compris vos noms d'utilisateur et mots de passe.
Voici les principales techniques utilisées par les voleurs de données. Après avoir acquis ces identifiants, ils prennent le contrôle du compte, mènent des activités illégales et cherchent à maintenir l'accès le plus longtemps possible pour nuire à la victime ou cibler d'autres personnes.
Souvent, les pirates essaient de bloquer l'accès de l'utilisateur ou de créer des portes dérobées pour de futures attaques.
Mieux vaut intercepter ces attaques le plus tôt possible afin d'éviter des dommages conséquents.
Détecter une attaque ATO
En tant que dirigeant d'entreprise, vous pouvez détecter une attaque ATO ciblant vos utilisateurs ou employés de plusieurs façons.
#1. Connexion inhabituelle
Cela peut se traduire par des tentatives de connexion répétées depuis des adresses IP variées, y compris depuis des zones géographiques éloignées. De même, il peut y avoir des connexions à partir de plusieurs appareils ou navigateurs.
De plus, toute activité de connexion en dehors des heures de travail normales peut indiquer une possible attaque ATO.
#2. Échecs d'authentification à deux facteurs (2FA)
Des échecs répétés de la 2FA ou de l'authentification multifacteur (MFA) peuvent également signaler un comportement malveillant. Souvent, c'est un pirate qui essaie de se connecter après avoir obtenu un nom d'utilisateur et un mot de passe volés ou divulgués.
#3. Activité anormale
Parfois, il n'est pas nécessaire d'être un expert pour identifier une anomalie. Tout comportement qui s'écarte significativement de l'activité normale de l'utilisateur peut indiquer une attaque.
Cela peut être aussi simple qu'une photo de profil inappropriée ou des spams envoyés à vos clients.
Cependant, détecter manuellement de telles attaques n'est pas facile, et des outils tels que Sucuri ou Acronis peuvent automatiser le processus.
Voyons maintenant comment éviter de telles attaques.
Prévenir une attaque ATO
Outre l'utilisation d'outils de cybersécurité, vous pouvez adopter certaines bonnes pratiques.
#1. Mots de passe robustes
Les mots de passe forts ne sont pas toujours appréciés, mais ils sont indispensables de nos jours. Ne permettez pas à vos utilisateurs ou employés d'utiliser des mots de passe simples. Définissez des exigences de complexité minimales pour l'enregistrement des comptes.
Pour les entreprises, 1Password Business est un excellent gestionnaire de mots de passe. En plus de stocker les mots de passe, ces outils analysent le dark web et vous avertissent en cas de fuite d'identifiants. Ils vous aident également à envoyer des demandes de réinitialisation de mot de passe aux utilisateurs concernés.
#2. Authentification multifacteur (MFA)
La MFA signifie qu'un site web exigera un code supplémentaire (envoyé par e-mail ou par SMS) en plus du nom d'utilisateur et du mot de passe pour se connecter.
Il s'agit généralement d'une méthode de sécurité efficace. Cependant, les escrocs peuvent contourner la MFA via l'ingénierie sociale ou des attaques MITM. Bien que ce soit une première ligne de défense précieuse, cela ne suffit pas.
#3. Mettre en place CAPTCHA
La plupart des attaques ATO commencent par des robots qui testent des identifiants aléatoires. Par conséquent, implémenter un défi tel que CAPTCHA est une bonne idée.
Même s'il existe des services de résolution de CAPTCHA que les pirates peuvent utiliser, les CAPTCHA restent un outil utile pour lutter contre les ATO dans de nombreux cas.
#4. Gestion des sessions
La déconnexion automatique des sessions inactives peut être vitale pour prévenir les piratages, car certains utilisateurs se connectent depuis plusieurs appareils sans se déconnecter des sessions précédentes.
De plus, autoriser une seule session active par utilisateur peut également être utile.
Enfin, les utilisateurs devraient pouvoir se déconnecter à distance des appareils actifs via l'interface utilisateur elle-même.
#5. Systèmes de surveillance
Pour une start-up ou une entreprise de taille moyenne, il n'est pas simple de surveiller tous les vecteurs d'attaque, surtout sans équipe de cybersécurité dédiée.
Vous pouvez alors vous appuyer sur des solutions tierces comme Cloudflare et Imperva, en plus d'Acronis et Sucuri mentionnés précédemment. Ces entreprises de cybersécurité sont parmi les meilleures pour gérer de tels problèmes et peuvent prévenir ou atténuer efficacement les attaques ATO.
#6. Géorepérage
Le géorepérage applique des politiques d'accès en fonction de la localisation géographique. Par exemple, une entreprise basée aux États-Unis n'a que peu de raisons d'autoriser des utilisateurs chinois. Bien que ce ne soit pas une solution infaillible, cela renforce la sécurité globale.
De plus, une entreprise en ligne peut être configurée pour n'autoriser que certaines adresses IP attribuées à ses employés.
Autrement dit, vous pouvez utiliser un VPN professionnel pour stopper les attaques par prise de contrôle de compte. De plus, un VPN chiffrera également le trafic réseau, protégeant ainsi les ressources de votre entreprise contre les attaques MITM.
#7. Mises à jour
En tant qu'entreprise en ligne, vous utilisez de nombreux logiciels : systèmes d'exploitation, navigateurs, plugins, etc. Tous ces éléments deviennent obsolètes et doivent être mis à jour pour une sécurité optimale. Même si cela n'est pas directement lié aux ATO, un code obsolète peut servir de porte d'entrée pour un cybercriminel.
En résumé : déployez régulièrement des mises à jour de sécurité sur les appareils professionnels. Encouragez les utilisateurs à maintenir leurs applications à jour.
Malgré tout cela, aucun expert en sécurité ne peut garantir une protection à 100 %. Il est donc essentiel d'avoir un plan de réponse solide en cas d'attaque.
Lutter contre une attaque ATO
Idéalement, il faut faire appel à un expert en cybersécurité, car chaque cas est unique. Voici toutefois quelques étapes générales à suivre en cas d'attaque ATO.
Contenir
Après avoir détecté une attaque ATO sur certains comptes, désactivez temporairement les profils concernés. Ensuite, l'envoi d'une demande de réinitialisation de mot de passe et de MFA peut limiter les dégâts.
Informer
Contactez les utilisateurs ciblés pour les informer de l'incident et de l'activité malveillante sur leur compte. Expliquez la suspension temporaire et les étapes pour restaurer l'accès en toute sécurité.
Enquêter
Cette étape est mieux menée par un expert en cybersécurité. L'objectif est d'identifier les comptes affectés et de s'assurer que l'attaquant n'est plus actif en utilisant des mécanismes d'analyse du comportement basés sur l'IA.
Il est également important d'évaluer l'ampleur d'une éventuelle violation de données.
Récupérer
Une analyse complète du système contre les logiciels malveillants doit être la première étape d'un plan de récupération détaillé. Souvent, les criminels installent des rootkits pour infecter le système et maintenir un accès pour de futures attaques.
À ce stade, vous pouvez mettre en place l'authentification biométrique ou la MFA si elle n'est pas déjà utilisée.
Signaler
Selon les lois locales, il peut être nécessaire de signaler l'attaque aux autorités gouvernementales. Cela vous aidera à rester conforme et à engager des poursuites contre les attaquants.
Planifier
Vous connaissez maintenant certaines failles de sécurité. Il est temps de les corriger pour l'avenir.
Profitez de cette occasion pour informer vos utilisateurs de cet incident et les sensibiliser à de bonnes pratiques sur internet pour éviter de futurs problèmes.
Pour l'avenir
La cybersécurité est en constante évolution. Ce qui était considéré comme sûr il y a dix ans pourrait être une porte d'entrée pour les escrocs aujourd'hui. Il est donc crucial de rester informé des nouvelles menaces et de mettre à jour régulièrement les protocoles de sécurité de votre entreprise.
Si cela vous intéresse, la section sécurité de toptips.fr contient de nombreux articles utiles pour les start-ups et les PME, que nous mettons régulièrement à jour. Consultez-les régulièrement pour rester au fait de l'actualité en matière de sécurité.
Restez prudents et protégez vos comptes.