Le FBI prévient que les techniques d'ingénierie sociale pourraient aider à contourner l'authentification multifacteur

Il y a quelque temps, nous avons parlé de l'utilité des systèmes d' authentification à deux facteurs et d'authentification à plusieurs facteurs et de la manière dont ils peuvent aider les utilisateurs à protéger leurs comptes contre les pirates. Cependant, avec le temps, les spécialistes de la cybersécurité ont prouvé qu'aucun système n'est invincible et que toutes les mesures de sécurité peuvent être contournées si les attaquants ont les moyens, les fonds et la détermination de le faire. La dernière preuve de cela a été présentée dans l' annonce du FBI . Il discute des attaques observées par le FBI sur les systèmes d'authentification multifacteur et avertit de ne pas dépendre aveuglément des couches de sécurité supplémentaires. Cela signifie-t-il que l'utilisation de l'authentification multifacteur ou la configuration de mots de passe forts est une perte de temps? Vous pouvez trouver les réponses à ces questions plus loin dans cet article de blog. De plus, dans la suite de cet article, nous expliquons comment les pirates contournent l'authentification multifacteur et à quelle fréquence de telles attaques se produisent.

Comment les pirates peuvent-ils contourner l'authentification multifacteur?

Selon l'avertissement du FBI, les pirates contournent l'authentification multifacteur à l'aide de techniques d'ingénierie sociale et d'attaques techniques courantes. L'annonce a mis en garde spécifiquement contre l' échange de cartes SIM , les faiblesses des sites Web qui gèrent l'authentification multifacteur et les outils de piratage , tels que Muraen et NecroBrowser .

L'échange de cartes SIM, également connu sous le nom d'escroquerie de portage, est une attaque au cours de laquelle des fraudeurs ciblent une vulnérabilité dans un système de vérification qui nécessite un code de sécurité, qui devrait être reçu via un téléphone mobile. Pour mener à bien une telle attaque, les cybercriminels doivent porter le numéro de téléphone d'une victime ciblée sur un appareil leur appartenant. La plupart des compagnies de téléphone fournissent de tels services aux utilisateurs qui perdent leur carte SIM et souhaitent conserver leurs anciens numéros de téléphone. Ainsi, pour mener à bien les attaques de permutation de cartes SIM, les pirates doivent en savoir suffisamment sur une victime ciblée pour pouvoir se faire passer pour elle et convaincre son fournisseur de téléphone de transférer le numéro de téléphone nécessaire sur une nouvelle carte SIM. Gardez à l'esprit qu'en cas de réussite des cybercriminels, la carte SIM d'origine de l'utilisateur doit être bloquée. Ainsi, si vous remarquez que votre carte SIM ne fonctionne plus, vous devez contacter votre opérateur téléphonique le plus rapidement possible et vérifier si quelqu'un a pu échanger illégalement votre carte SIM.

Ensuite, nous avons des outils de piratage appelés Muraen et NecroBrowser . Ils ont été présentés lors de la conférence Hack-in-the-Box qui s'est tenue à Amsterdam en juin 2019. Les outils ont été créés pour les attaques de phishing automatisées qui pourraient contourner l'authentification à deux facteurs. Au cours de celles-ci, les outils mentionnés créent une copie d'un site Web à travers lequel le compte ciblé est accessible. La différence entre les sites Web de phishing traditionnels et les faux sites créés à l'aide des outils Muraen et NecroBrowser est que les derniers peuvent demander des codes de vérification aux sites d'origine. Ainsi, un utilisateur essayant de se connecter via le faux site Web recevrait un code de vérification du site légitime. Une fois un tel code entré, les pirates peuvent non seulement l'utiliser pour se connecter au compte ciblé, mais également obtenir des cookies de session ou des jetons de session qu'ils peuvent utiliser pour de futures connexions.

À quelle fréquence les pirates contournent-ils l'authentification multifacteur?

Si vous suivez l'actualité de la cybersécurité, vous avez peut-être remarqué que les chercheurs signalent de nouvelles attaques sur les systèmes d'authentification multifacteur de temps en temps. Vous avez peut-être également lu qu'il n'y a pas d'informations statistiques sur de telles attaques car elles se produisent rarement. Il y a plusieurs raisons à cela. Premièrement, malgré les recommandations des experts en cybersécurité d'utiliser l'authentification multifacteur, il y a encore beaucoup d'utilisateurs qui ne prennent pas la peine de l'activer. Cela signifie que les cybercriminels n'ont pas à attaquer les comptes protégés par de telles mesures de sécurité car il existe de nombreuses cibles moins protégées. Deuxièmement, le piratage d'un compte avec l'authentification multifacteur n'est pas aussi simple que le piratage d'un compte protégé uniquement par un mot de passe. De telles attaques nécessitent plus de temps, d'argent et d'outils de piratage plus avancés. En d'autres termes, alors qu'attaquer le compte d'une entreprise fortement protégé peut être plus gratifiant, de nombreux pirates trouvent plus facile et plus rentable de s'attaquer à des cibles plus faibles.

Est-il toujours conseillé d'utiliser l'authentification multifacteur?

Bref, la réponse est absolument oui. Même si l'authentification multifacteur peut parfois ne pas protéger les comptes, c'est toujours votre meilleure chance de vous protéger en ligne. Comme mentionné précédemment, de telles attaques se produisent rarement car de nombreux cybercriminels choisissent des cibles plus accessibles. Naturellement, si davantage d'utilisateurs commencent à utiliser l'authentification multifacteur, les pirates n'auront d'autre choix que d'attaquer les comptes protégés avec elle à l'avenir. Cependant, pour l'instant, les couches de sécurité supplémentaires de l'authentification multifacteur peuvent protéger contre les attaques de phishing traditionnelles et d'autres attaques conçues uniquement pour les comptes protégés par mot de passe.

L'utilisation d'un mot de passe fort est-elle nécessaire si vous activez l'authentification multifacteur?

Enfin, vous pouvez vous demander s'il est utile d'utiliser un mot de passe fort si vous activez l'authentification multifacteur. Encore une fois, la réponse serait oui. Lorsqu'il s'agit de protéger les informations personnelles, votre compte bancaire ou tout autre élément sensible que les pirates pourraient trouver sur vos comptes, vous devez profiter de toutes les mesures de sécurité que vous pouvez utiliser. En outre, il existe encore des sites Web, des plates-formes et des applications qui ne fournissent pas l'authentification multifacteur. Dans de tels cas, la sécurité de vos comptes peut dépendre du mot de passe que vous avez configuré.

Sans aucun doute, la façon la plus simple de créer des mots de passe forts et de vous assurer de ne jamais les oublier est d'utiliser un gestionnaire de mots de passe. Pour vous assurer que vos informations de connexion sont également protégées, nous vous recommandons d'utiliser un gestionnaire de mots de passe dédié et non des fonctionnalités intégrées fournies avec les navigateurs. Si vous voulez un outil qui peut assurer la sécurité et fournir gratuitement de nombreuses fonctionnalités utiles, nous vous suggérons d'essayer Cyclonis Password Manager . Il fonctionne sur tous les principaux systèmes d'exploitation. En outre, il peut générer des codes d'accès solides et les mémoriser pour vous, ainsi que vous connecter automatiquement à vos comptes. Pour en savoir plus sur toutes les fonctionnalités qu'il peut offrir, vous devriez continuer à lire ici .

Dans l'ensemble, même si l'authentification multifacteur peut être contournée, cela semble toujours être le meilleur moyen de protéger ses comptes. Bien sûr, il existe de nombreuses options d'authentification multifacteur, et certaines sont plus sûres que d'autres. Ainsi, si vous êtes en mesure de choisir, vous devez rechercher toutes les options disponibles et choisir celle considérée comme la plus forte. De plus, au lieu de dépendre aveuglément de couches de sécurité supplémentaires, vous ne devriez jamais perdre votre garde et faire attention aux sites Web de phishing et vous assurer que les pirates ne pourraient pas facilement échanger votre carte SIM. De plus, cela ne fait jamais de mal de rester au courant des actualités en matière de cybersécurité et d'apprendre à éviter d'être victime des dernières escroqueries.