Des milliards de mots de passe disponibles sur les forums clandestins, selon des chercheurs en sécurité
Les noms d’utilisateur et les mots de passe de plus de 15 milliards de comptes, y compris des comptes d’administrateurs réseau, des comptes bancaires et de services de streaming sont en circulation en ligne, selon des chercheurs en sécurité informatique.
ont passé 18 mois à analyser la manière dont les pirates informatiques accèdent et utilisent les données de comptes volés. Ils expliquent que l’utilisation de ces comptes n’a jamais été aussi facile et économique pour les cybercriminels.
La prolifération des identifiants de compte volés est telle qu’un grand nombre d’entre eux sont même tout simplement disponibles gratuitement lorsqu’ils sont partagés sur des forums clandestins ou publiés sur le Web. De nombreux comptes piratés sont partagés à plusieurs reprises, ce qui suggère que malgré le fait qu’il ait été piraté, l’utilisateur n’est pas conscient de ce qui s’est passé. Mais malgré cette duplication, les chercheurs affirment qu’il y a toujours plus de cinq milliards de comptes “uniques” à vendre par des cybercriminels, permettant aux acheteurs d’accéder à des services en ligne piratés.
Les justificatifs d’identité les plus précieux sont ceux qui donnent accès aux comptes d’administrateurs. Certains sont négociés au montant de 120 000 dollars, a déclaré la société. Le coût moyen est de 3 139 dollars, ce qui reste un montant important. Mais avec le type d’accès offert par les comptes d’administrateur, les cybercriminels pourraient récupérer plusieurs fois ce qu’ils paient pour l’information. Même si les attaquants paient une somme à six chiffres, s’ils utilisent cet accès pour perturber un réseau entier avec une attaque de ransomware et demandent des millions de dollars en échange de la restitution de l’accès, les criminels pourraient considérer que le coût en vaut la peine.
Cartes bancaires, antivirus et services de streaming
Pour les comptes grand public, ce sont les cartes bancaires qui se vendent le mieux, les chercheurs notant que le prix moyen est de 70,91 dollars. La valeur d’un compte bancaire vient du fait que le criminel peut accéder à tous les fonds que la victime a économisés – qui peuvent s’élever à des milliers – ainsi qu’à la possibilité de demander des cartes de crédit, des prêts et d’autres montages financiers.
Il est peut-être surprenant de constater que le deuxième coût le plus élevé pour les comptes grands public piratés concerne les programmes antivirus, dont l’accès peut être acheté pour un coût moyen de 21,67 dollars – ce qui est bien inférieur au coût d’un abonnement annuel légitime.
Les comptes de services de streaming média, de VPN, les comptes d’outils de partage de fichiers et de réseaux sociaux sont tous proposés à moins de 10 dollars. Dans des cas comme les services de streaming, l’utilisateur pourrait de toute façon fournir les informations d’identification de son compte à un ami ou à un membre de sa famille, et pourrait donc ne même pas remarquer que son compte est utilisé, et encore moins compromis.
Attaques automatisées
Les chercheurs avertissent que la raison pour laquelle tant de références de comptes sont disponibles en ligne – qu’il s’agisse de mots de passe d’administrateur, de coordonnées bancaires ou d’une connexion à Netflix – est que les gens utilisent des mots de passe faibles qui peuvent facilement être repris avec des outils de crackage par force brute.
“Ces attaques sont généralement des tentatives de connexion automatisées qui utilisent une liste prédéterminée d’identifiants d’accès – souvent des combinaisons de noms d’utilisateur ou d’adresses électroniques et de mots de passe en clair – provenant de violations ou de fuites de données antérieures”, a déclaré M. Guirakhoo. “Ces outils sont peu coûteux et faciles à utiliser, et offrent même un certain niveau d’automatisation pour rendre l’accès à un compte trivial”, a-t-il ajouté.
L’une des façons dont les personnes – et les entreprises – peuvent rendre plus difficile ces vols est d’utiliser un mot de passe unique pour chaque service, ce à quoi l’utilisation d’un gestionnaire de mots de passe pourrait contribuer. Les utilisateurs doivent également appliquer une authentification à plusieurs facteurs pour une protection supplémentaire, car même si le mot de passe est subtilisé, une alerte vous informe que quelqu’un a essayé d’accéder à votre compte.
Mais avec plus de 15 milliards de comptes déjà compromis, il est fort possible que le vôtre en fasse partie. Toute personne craignant que son compte ait été piraté devrait chercher à changer son mot de passe. “Si vous pensez que votre compte a été compromis, vous devez immédiatement changer vos mots de passe – et pour tout autre service où vous avez utilisé le même mot de passe – et vérifier toute activité frauduleuse. C’est là que des mots de passe uniques sont utiles”, a déclaré M. Guirakhoo.
