5 fois, les attaques par force brute entraînent d’énormes violations de la sécurité
Se rendre compte que votre compte a été piraté est tout sauf agréable. Les cyberattaquants qui obtiennent un accès non autorisé à votre réseau exposent vos informations personnelles et, une fois que cela se produit, ils peuvent en faire ce qu'ils veulent.
Vous ne savez pas comment ils ont piraté votre compte, en particulier lorsque vous avez fait attention à vos identifiants de connexion ? Ils l'ont probablement compris avec la force brute. Mais vous n'êtes pas seul : certaines organisations de premier plan ont également subi le même sort auparavant.
Dans cet article, nous mettrons en évidence cinq attaques par force brute qui ont conduit à d'énormes failles de sécurité.
Qu'est-ce qu'une attaque par force brute ?
Une attaque par force brute consiste à essayer chaque touche d'un clavier d'ordinateur pour trouver le mot de passe ou les identifiants de connexion corrects. C'est plus ou moins un jeu de devinettes.
Le concept d'attaque par force brute crée une image d'un cyberattaquant assis sur son ordinateur, devinant le mot de passe d'un système ou d'un compte. Cependant, c'est à un niveau de base.
Les cyberattaquants sont devenus plus sophistiqués dans leurs compétences au fil des ans. Plutôt que de deviner eux-mêmes, ils utilisent parfois une technologie de pointe qui permet à l'ordinateur de deviner le mot de passe en combinant tous les mots possibles.
Une attaque par force brute est-elle illégale ?
Ce qui détermine si l'attaque est illégale ou non, c'est l'accès autorisé ou non autorisé. Si vous utilisez la force brute pour accéder au réseau de quelqu'un sans sa permission, c'est illégal.
Il existe quelques cas où une attaque par force brute peut être légale, et c'est principalement lors d'un test de pénétration. Par exemple, une organisation pourrait engager un expert en sécurité offensive pour tester la force de la sécurité de son réseau en le piratant . Dans ce cas, il y a des instructions claires sur ce que le pirate doit faire.
Les fournisseurs de sécurité réseau utilisent également un test d'intrusion pour vérifier la sécurité du réseau de leurs clients. Ces clients sont pleinement conscients du test d'intrusion et y consentent.
Les objectifs d'une attaque par force brute
Il existe plusieurs méthodes de force brute utilisées par les attaquants pour leurs activités malveillantes. La méthode déployée pour une attaque dépend de l'expertise de l'attaquant, de son objectif et du niveau de sécurité du réseau.
Les types d'attaques par force brute incluent les attaques par force brute simples, les attaques par dictionnaire, les attaques par force hybride, les attaques par force brute inversée et le bourrage d'informations d'identification.
Lorsqu'ils mènent une attaque par force brute, les pirates informatiques visent à provoquer une perturbation. Vous trouverez ci-dessous cinq des principales raisons pour lesquelles les criminels utilisent cette tactique.
1. Vol d'informations personnelles
Les auteurs d'attaques par force brute pourraient pirater votre réseau pour voler vos informations personnelles telles que les détails de votre carte de crédit, les mots de passe des comptes, les numéros d'identification personnels (PIN) et d'autres informations d'identification que vous utilisez pour vos activités en ligne.
2. Dommages à la réputation
Les attaques par force brute peuvent être utilisées à des fins de vengeance. Une personne lésée pourrait faire appel aux services de cyberattaquants pour pirater votre réseau par la force brute et utiliser vos données sensibles pour ternir votre réputation.
3. Vendre des informations d'identification à des tiers
Après avoir eu accès à vos informations d'identification, un pirate informatique pourrait les vendre à des tiers prêts à payer beaucoup d'argent pour eux. La valeur marchande de vos informations d'identification est déterminée par leur valeur.
4. Rançon
Les cyberattaquants pourraient utiliser des attaques par force brute pour détourner votre système et vous demander de payer une rançon avant de vous laisser revenir dans votre réseau.
Exemples réels d'attaques par force brute
Au fil des ans, il y a eu plusieurs attaques par force brute contre des organisations. Les utilisateurs de ces plateformes ont perdu des informations personnelles et, dans certains cas, des fonds. Dans certains cas, les organisations ont également été poursuivies en justice pour leur incapacité à empêcher les attaques.
Jetons un coup d'œil à cinq attaques par force brute réelles et à leurs conséquences.
1. Dunkin' Donuts (2015)
La franchise de café Dunkin' Donuts a subi une attaque par force brute qui a fait perdre à ses utilisateurs d'énormes sommes via l'application mobile et le site Web de l'entreprise. Les cyberattaquants ont utilisé la force brute pour obtenir un accès non autorisé aux comptes de 19 715 utilisateurs dans les cinq jours, volant leur argent.
La société a ensuite été critiquée pour ne pas avoir informé ses utilisateurs du compromis afin qu'ils puissent prendre les mesures nécessaires pour protéger leurs comptes.
Bien que Dunkin' Donuts ait d'abord nié avoir joué un rôle dans l'attaque, il a par la suite accepté de payer la somme de 650 000 $ en règlement du procès.
2. Alibaba (2016)
La populaire plate-forme de commerce électronique Alibaba a été victime d'une attaque par force brute qui a compromis les comptes d'environ 21 millions d'utilisateurs en 2016. Au cours de l'attaque, qui a eu lieu entre octobre et novembre de la même année, les attaquants ont obtenu un accès non autorisé aux noms d'utilisateur et mots de passe de 99 millions d'utilisateurs.
Tirant parti de la base de données à leur disposition, ils ont compromis 20,6 millions de comptes d'utilisateurs.
Les experts ont révélé que la principale cause de l'attaque était le chevauchement des mots de passe par les utilisateurs. Il a été découvert que la majorité des utilisateurs utilisaient le même mot de passe pour la plate-forme pour leurs autres comptes. Les mots de passe faibles étaient une autre cause de l'attaque. Certains utilisateurs avaient des mots de passe faibles et faciles à comprendre.
3. Magento (2018)
Magento est une autre plate-forme de commerce électronique populaire et, comme Alibaba, a subi une attaque par force brute qui a compromis ses panneaux d'administration en 2018.
Selon les chercheurs qui ont découvert l'attaque, pas moins de 1 000 identifiants de compte ont été trouvés sur le dark web. L'objectif des attaquants était de gratter les numéros de carte de crédit des titulaires de compte et d'infecter leurs appareils avec des logiciels malveillants pour l'extraction de crypto-monnaie.
Les experts pensaient que les comptes concernés étaient plus de 1 000 signalés. Trouvé sur l'open source Magento, la société a révélé que les attaquants avaient exploité les mots de passe faibles de ses utilisateurs pour lancer l'attaque par force brute, et a conseillé à ses utilisateurs de créer des mots de passe plus forts pour éviter une récurrence.
4. Parlement d'Irlande du Nord (2018)
Le Parlement d'Irlande du Nord a été la cible d'une attaque par force brute qui a compromis les comptes de certains de ses membres en 2018.
L'enquête sur l'attaque a révélé qu'elle avait été initiée par des sources externes. Les attaquants ont accédé aux boîtes aux lettres des membres de l'assemblée en essayant plusieurs mots de passe.
Les comptes concernés ont été supprimés et les membres du Parlement ont été invités à remplacer leurs mots de passe par des mots de passe plus forts. Au lieu d'utiliser des mots simples, il leur a été conseillé d'utiliser des phrases secrètes.
5. Agence du revenu du Canada (2020)
L'Agence du revenu du Canada (ARC) a été victime d'une attaque par force brute qui a compromis environ 11 000 comptes appartenant à l'ARC et à d'autres services liés au gouvernement en août 2020.
Les auteurs de l'attaque visaient l'Agence du revenu du Canada (ARC) et le Service clé du gouvernement du Canada (CléGC), des organismes qui permettent aux Canadiens d'accéder à divers programmes et services gouvernementaux au pays.
Les experts ont révélé que les attaquants utilisaient des identifiants de connexion précédemment volés, tels que des noms d'utilisateur et des mots de passe, pour pirater les personnes concernées. L'attaque a réitéré qu'il n'est pas conseillé d'utiliser le même mot de passe sur plusieurs sites Web ou comptes. Vous pouvez empêcher les attaques par force brute en créant vous-même des mots de passe forts .
Pratiquer une culture de cybersécurité saine
Les cyberattaques sont par nature violentes, car elles ne sont pas autorisées. Les attaques par force brute ne font qu'amplifier le processus avec l'utilisation de diverses techniques. Un excellent moyen de bloquer les pirates informatiques de toute forme d'attaque consiste à mettre en œuvre des pratiques de cybersécurité intelligentes. Prendre une précaution supplémentaire sur vos comptes et systèmes ajoute une couche de sécurité supplémentaire que les pirates doivent contourner, ce qui pourrait faire la différence entre la compromission ou non de vos informations personnelles.