Cette technique redoutable explique l’explosion des cyberattaques en France

Free, SFR, Boulanger, Auchan, Picard, ou encore Truffaut et Direct Assurance, les vols de données ont explosé ces derniers mois en France. Si chaque cas est bien entendu différent, une tactique semble avoir été privilégiée par les hackers : le « credential stuffing ». Voici comment cela fonctionne.

Une méthode efficace

Concrètement, les acteurs malveillants vont utiliser des identifiants (noms d’utilisateur, adresses email, mots de passe, etc.) préalablement volés à un service. Il faut dire que de nombreux utilisateurs reproduisent les mêmes mots de passe sur différentes plateformes, cette technique s’avère donc souvent rentable.

Cette méthode a clairement fait ses preuves, comme l’explique Benoit Grunemwald, directeur des affaires publiques d’ESET France, à nos confrères de 01Réseau :

Après une violation de données, les cybercriminels collectent des milliers d’e-mails et utilisent des programmes automatisés pour les tester sur plusieurs sites. Un mot de passe unique réutilisé devient une porte dérobée vers toute votre vie numérique, surtout si cet accès ouvre votre messagerie électronique. Il devient alors possible de réinitialiser les mots de passe facilement.

Bien entendu, les cybercriminels n’effectuent pas ces manœuvres manuellement, car cela prendrait trop de temps. Ils automatisent ce processus à l’aide de scripts et de robots qui permettent de tester un très grand nombre de combinaisons et de services en très peu de temps.

01Réseau cite notamment l’exemple de la cyberattaque qui a récemment visé Picard. Grâce au Credential Stuffing, des pirates ont réussi à voler les données personnelles de 45 000 clients membres du programme de fidélité de la marque. Le même procédé a été utilisé lors de l’intrusion de la Caisse d’allocations familiales (CAF) en août dernier.

Comment mieux se protéger ?

Face à ce risque désormais bien concret, il est important d’adopter les bons réflexes. Le plus important est de varier vos mots de passe pour éviter de faciliter la tâche des cybercriminels.

Force est de constater que cette tâche n’est pas toujours facile. Pour vous aider, vous pouvez utiliser des gestionnaires de mots de passe. Nous avons également concocté pour vous un guide qui recense les principales offres du marché.

Autre option à ne pas négliger : l’authentification à deux facteurs. En effet, dans le cas d’attaques de credential stuffing, si vous avez activé cet outil, vous serez immédiatement averti de la tentative d’intrusion et pourrez agir en conséquence.

Enfin, et si vous avez des soupçons, n’hésitez pas à vous rendre sur le site HaveIbeenPwned. En saisissant votre e-mail, vous verrez si vos informations d’identification ont été compromises lors d’une violation de données connue.