Prise de contrôle de compte et violations de données

Module 1: Pourquoi vous êtes une cible · Temps de lecture : 10 minutes

Objectif pédagogique : après cette leçon, vous saurez expliquer comment des identifiants de connexion volés sont réutilisés et ce qu'il advient des données qui ont fait l'objet d'une fuite.
Notions clés : prise de contrôle de compte, credential stuffing, infostealer, cookie de session, violation de données, données à caractère personnel, combo liste

Se connecter plutôt qu'effractionner

Le moyen le plus simple de s'introduire dans un système n'est pas de chercher une faille, mais tout simplement de se connecter. Celui qui possède votre adresse e-mail et votre mot de passe n'a besoin de rien pirater. Pour le système, il est tout simplement vous. C'est ce qu'on appelle une prise de contrôle de compte : une autre personne s'empare d'un compte et l'utilise comme si elle en était le propriétaire.

Pour une petite entreprise, la boîte mail est le compte le plus important. Celui qui possède votre boîte mail peut :

• via « mot de passe oublié », réinitialiser les mots de passe de presque tous vos autres comptes ;
• lire votre courrier et envoyer une fausse facture au moment le plus opportun (leçon 1.2) ;
• envoyer des e-mails en votre nom à des clients, qui vous font confiance ;
• mettre en place une règle de transfert, afin de continuer à recevoir discrètement une copie de tous vos e-mails, même après que vous avez changé votre mot de passe (leçon 2.5).

Mais comment un attaquant obtient-il votre mot de passe ? Il existe trois voies principales : vous le saisissez vous-même sur un faux site (hameçonnage, module 3), il fuite chez un autre service où vous l'avez également utilisé, ou un logiciel malveillant sur votre ordinateur le dérobe. Nous traitons ici les deux dernières.

Credential stuffing : une fuite, essayée partout

Des sites web sont régulièrement piratés. Lors d'une telle fuite, les adresses e-mail et mots de passe des utilisateurs se retrouvent souvent exposés, parfois lisibles, parfois sous une forme qu'il est possible de retrouver avec de la puissance de calcul. Ces données sont collectées, rassemblées et échangées dans d'immenses listes d'adresses e-mail associées à des mots de passe : les combo listes.

Avec une telle liste, un attaquant procède au credential stuffing : il teste automatiquement chaque paire adresse e-mail et mot de passe sur d'autres services. L'OWASP, une organisation ouverte reconnue en sécurité web, décrit cela comme la saisie automatisée d'identifiants volés afin d'obtenir l'accès à des comptes. Cela fonctionne pour une seule raison : les gens utilisent le même mot de passe à plusieurs endroits.

Un exemple. Petra, de la Boulangerie Example, a créé il y a des années un compte chez un site de vente de matériel de pâtisserie, avec info@example.com et le mot de passe qu'elle utilisait partout à l'époque. Ce site est piraté. Un an plus tard, sa combinaison se retrouve dans une combo liste. Un programme la teste en une nuit sur :

Petra ne remarque rien : elle n'a vu aucun e-mail d'hameçonnage et n'a rien cliqué. Les leçons à en tirer : un mot de passe unique par service empêche la propagation d'une fuite (leçons 2.1 et 2.2), et l'authentification à deux facteurs (2FA) arrête un attaquant qui dispose pourtant du bon mot de passe (leçon 2.3). Vous pouvez vérifier vous-même sur https://haveibeenpwned.com si votre adresse e-mail apparaît dans une fuite connue.

Une erreur fréquente consiste à créer un « système » pour faire varier les mots de passe : Bakkerij2025! pour les e-mails et Bakkerij2025!boekhouding pour la comptabilité. Les programmes qui exploitent les combo listes testent aussi ce genre de variantes évidentes.

Les infostealers : le mot de passe directement depuis votre ordinateur

Un infostealer est un logiciel malveillant qui collecte des données sur votre ordinateur et les envoie à l'attaquant. Microsoft décrit que les infostealers récupèrent notamment, depuis les navigateurs, les noms d'utilisateur et mots de passe enregistrés, les cookies de session, les données de formulaires auto-remplies et les informations de cartes bancaires. Vous récupérez un tel programme par exemple via un faux téléchargement (« version gratuite d'un logiciel payant »), une pièce jointe, une fausse publicité, ou un site qui vous demande de copier-coller une commande « pour résoudre un problème ».

Un infostealer agit souvent en quelques minutes puis disparaît. Le butin, un fichier appelé « log » contenant toutes les données de cet ordinateur, est ensuite vendu. Il est parfois utilisé des années plus tard.

Pourquoi un cookie de session est aussi dangereux

Lorsque vous vous connectez à un site web, avec mot de passe et authentification à deux facteurs, votre navigateur reçoit un cookie de session : un petit fichier qui indique, à chaque requête suivante, que vous êtes déjà connecté. Vous n'avez ainsi pas besoin de saisir à nouveau votre code à chaque clic.

Celui qui vole ce cookie peut l'installer dans son propre navigateur et se retrouve alors connecté lui aussi. Il n'a besoin ni de votre mot de passe ni de votre deuxième facteur, puisque la connexion a déjà eu lieu. MITRE ATT&CK, une base de connaissances publique sur les techniques d'attaque, l'affirme explicitement : les cookies de session peuvent être utilisés pour contourner certaines formes d'authentification multifactorielle.

Ce qui aide contre les infostealers et les cookies volés :

• ne pas installer de logiciels provenant de sources inconnues, et ne pas travailler avec un compte administrateur, afin que l'installation ne se fasse pas facilement (leçon 5.2) ;
• mettre à jour votre système d'exploitation et votre navigateur (leçon 5.1) ;
• après une infection, nettoyer ou réinstaller d'abord l'ordinateur, puis changer les mots de passe depuis un appareil sain et révoquer toutes les sessions, afin que les cookies volés deviennent invalides (leçons 2.5 et 3.5) ;
• des méthodes de connexion résistantes à l'hameçonnage comme les passkeys, qui rendent impossible le vol d'identifiants via de faux sites (leçon 2.4).

Ce qu'est une violation de données

Jusqu'ici, il s'agissait de vos propres comptes. Mais si un attaquant s'introduit dans votre boîte mail, votre comptabilité ou votre boutique en ligne, il voit également des données concernant d'autres personnes : clients, employés, membres. Il s'agit alors d'une violation de données.

Le RGPD définit les données à caractère personnel comme toute information concernant une personne physique identifiée ou identifiable : un nom, une adresse e-mail, un numéro de téléphone, une adresse, mais aussi un numéro de client que vous pouvez relier à une personne. Une violation de données (dans le RGPD : une violation de données à caractère personnel, article 4 point 12) est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données.

Une violation de données n'est pas nécessairement un piratage. Ceci peut aussi être une violation de données :

• un e-mail contenant une liste de clients envoyé au mauvais destinataire ;
• un ordinateur portable volé ou perdu sans chiffrement ;
• un lien de partage vers un dossier de CV qui se retrouve public sur internet ;
• une boîte mail piratée contenant des factures avec noms et adresses ;
• des fichiers chiffrés par un ransomware et dont vous n'avez pas de sauvegarde (destruction et perte).

Une violation de données s'accompagne d'obligations : vous consignez chaque violation de données dans un registre des violations, vous la notifiez dans les 72 heures à la CNIL, https://www.cnil.fr/, sauf si elle n'est probablement pas susceptible d'engendrer un risque pour les personnes concernées, et en cas de risque élevé, vous informez également les personnes elles-mêmes. Vous apprendrez précisément comment cela fonctionne dans la leçon 8.2. Pour l'instant, il est important de ne pas considérer une prise de contrôle de compte uniquement comme « notre problème » : elle touche souvent aussi les personnes dont vous détenez des données.

Ce qu'il advient des données ayant fait l'objet d'une fuite

Les données ayant fait l'objet d'une fuite ne disparaissent pas. Elles sont copiées, rassemblées et revendues. Une fuite a donc des conséquences qui perdurent longtemps :

• Réutilisation : les mots de passe se retrouvent dans des combo listes destinées au credential stuffing.
• Hameçonnage plus efficace : avec votre nom, vos clients et votre dernière commande, un escroc élabore un e-mail convaincant. Un client qui reçoit, la semaine suivant une fuite chez vous, un « rappel de paiement » de votre part, paiera plus vite.
• Usurpation d'identité : avec suffisamment de données sur une personne, un escroc peut ouvrir des comptes ou se faire passer pour elle.
• Extorsion : « payez, sinon nous informons vos clients que leurs données ont fuité chez vous » (leçon 1.3).

C'est pourquoi conserver moins de données est aussi une mesure de sécurité. Des données que vous ne détenez pas ne peuvent pas fuiter.

Résumé

• Lors d'une prise de contrôle de compte, un attaquant se contente de se connecter ; la boîte mail est le compte le plus important, car elle permet de réinitialiser d'autres mots de passe.
• Le credential stuffing teste automatiquement sur d'autres services des combinaisons fuitées d'adresse e-mail et de mot de passe issues de combo listes ; des mots de passe uniques et la 2FA y font barrage.
• Les infostealers volent les mots de passe et les cookies de session depuis le navigateur ; avec un cookie volé, un attaquant peut contourner certaines 2FA, donc révoquez toutes les sessions après une infection.
• Une violation de données est toute atteinte à la sécurité de données à caractère personnel, y compris un e-mail mal envoyé ou un ordinateur portable perdu.
• Les données ayant fait l'objet d'une fuite sont réutilisées pour de nouvelles attaques ; conserver moins de données réduit le risque.

Quiz

Exercice

Exercice A1.4 : Une seule fuite, quels comptes sont en danger ? Vous recevez un aperçu des comptes d'une petite entreprise : quel mot de passe (désigné comme W1, W2, etc., jamais un vrai mot de passe) correspond à quel service, et si l'authentification à deux facteurs est activée. Ensuite, un service subit une fuite. Indiquez quels comptes sont immédiatement en danger, dans quel ordre vous les traitez et s'il s'agit d'une violation de données. Le programme vérifie et explique.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
• Have I Been Pwned (vérifier vous-même si votre adresse e-mail figure dans une fuite connue) : https://haveibeenpwned.com
• OWASP, Credential stuffing (en anglais) : https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (en anglais) : https://attack.mitre.org/techniques/T1539/
• RGPD (Règlement (UE) 2016/679), texte officiel : https://eur-lex.europa.eu/eli/reg/2016/679/oj