Attaque par pulvérisation de mots de passe : comment les détecter et les atténuer ?

La définition d'un seuil de verrouillage de compte peut empêcher les pirates informatiques de mener des attaques par force brute pour deviner les mots de passe des comptes d'utilisateurs. Mais désormais, les pirates se tournent de plus en plus vers les attaques par pulvérisation de mots de passe pour contourner les paramètres de verrouillage des tentatives de connexion.

Par rapport à une attaque par force brute traditionnelle, une attaque par pulvérisation de mot de passe est relativement simple à exécuter et a un faible taux de détection.

Alors, qu’est-ce qu’une attaque par pulvérisation de mot de passe, comment fonctionne-t-elle, comment pouvez-vous l’empêcher et que devez-vous faire pour remédier à une attaque par pulvérisation de mot de passe ? Découvrons-le.

What Is a Password Spraying Attack?

Une attaque par pulvérisation de mot de passe est un type de cyberattaque dans laquelle les acteurs malveillants diffusent des mots de passe couramment utilisés sur plusieurs comptes d'une organisation, dans l'espoir que certains mots de passe les aideront à accéder aux comptes d'utilisateurs.

Les pirates utilisent un mot de passe unique et couramment utilisé pour plusieurs comptes dans une entreprise. S'ils n'ont accès à aucun compte dès la première tentative, ils utiliseront un mot de passe différent pour effectuer la pulvérisation de mot de passe après quelques jours.

Ils répètent le processus jusqu'à ce qu'ils aient accès à un compte d'entreprise. Comme ils n'utilisent pas plusieurs mots de passe pour un seul compte sur une courte période, les paramètres de verrouillage des tentatives de connexion ne bloquent pas les comptes en raison d'échecs excessifs.

Une fois à l’intérieur d’un réseau d’entreprise, ils peuvent mener diverses activités pour atteindre leurs objectifs malveillants.

Les utilisateurs ont plusieurs comptes de nos jours. Créer un mot de passe fort pour chaque compte est une tâche fastidieuse, sans parler de mémoriser ces mots de passe.

Ainsi, de nombreux utilisateurs créent des mots de passe simples pour faciliter le processus. Mais les mots de passe simples sont populaires et bien connus. Tout le monde peut rechercher sur Google les mots de passe les plus courants et obtenir la liste des mots de passe les plus utilisés. Ce scénario a alimenté la croissance des attaques par pulvérisation de mots de passe.

Fournisseur d'espaces de travail numériques et de réseaux d'entreprise Citrix a confirmé que les acteurs malveillants ont eu accès au réseau interne de l'entreprise grâce aux efforts de pulvérisation de mots de passe le 13 octobre 2018 et le 8 mars 2019.

Microsoft aussi mot de passe validé attaques par pulvérisation contre plus de 250 clients Office 365.

How Does a Password Spraying Attack Work?

Voici les trois étapes d’une attaque réussie par pulvérisation de mot de passe.

# 1. Collectez la liste des noms d'utilisateur

La première étape pour mener une attaque par pulvérisation de mots de passe consiste à mettre la main sur une liste de noms d’utilisateur dans une organisation.

Habituellement, les entreprises utilisent une convention standardisée pour les noms d'utilisateur, faisant des adresses e-mail des utilisateurs leurs noms d'utilisateur par défaut pour les comptes associés. Il faut peu d’efforts pour deviner les adresses e-mail des utilisateurs, car le format de courrier électronique le plus couramment utilisé est prénom.nom@nom de l’entreprise.com.

Les acteurs malveillants peuvent également connaître les adresses e-mail des utilisateurs en visitant le site Web de l'entreprise, les profils LinkedIn des employés ou d'autres profils en ligne pertinents.

Ils peuvent également acheter une liste de noms d’utilisateur facilement disponible sur le dark web.

# 2. Pulvériser les mots de passe

Une fois qu’ils auront une liste de noms d’utilisateur, ils rechercheront « la liste des mots de passe les plus courants ». Les recherches Google et Bing peuvent rapidement fournir aux pirates informatiques une liste de mots de passe courants pour une année donnée. Pour augmenter leurs chances de succès, les pirates peuvent modifier la liste des mots de passe couramment utilisés en fonction de la situation géographique des utilisateurs.

Par exemple, ils peuvent prendre en compte les équipes/acteurs sportifs populaires, les activités culturelles, la musique, etc. Si une organisation est basée à Chicago, les pirates peuvent combiner les Chicago Bears avec des mots de passe couramment utilisés pour pulvériser les mots de passe.

Après avoir pulvérisé un seul mot de passe sur plusieurs comptes, ils attendront au moins 30 à 50 minutes avant de lancer la prochaine attaque de pulvérisation afin d'éviter le verrouillage des comptes.

Les pirates peuvent utiliser divers outils automatisés pour automatiser le processus de pulvérisation.

# 3. Accéder aux comptes

Si l’attaque par pulvérisation réussit, l’attaquant aura accès aux comptes des utilisateurs. Sur la base des privilèges de ces comptes compromis, les attaquants peuvent mener diverses activités malveillantes, telles que l'installation de logiciels malveillants, le vol de données sensibles, la réalisation d'achats frauduleux, etc.

Supposons également que l’attaquant soit capable de pénétrer dans le réseau de l’entreprise. Dans ce cas, ils peuvent approfondir votre réseau via un mouvement latéral pour rechercher des actifs de grande valeur et augmenter leurs privilèges.

Password Spraying vs. Credential Stuffing vs. Brute Force Attack

In attaques de bourrage d'informations d'identification de mot de passe, les acteurs malveillants utilisent les informations d'identification volées à une organisation pour accéder aux comptes d'utilisateurs sur diverses plates-formes.

Les acteurs malveillants profitent du fait que de nombreuses personnes utilisent les mêmes noms d’utilisateur et mots de passe pour accéder à leurs comptes sur plusieurs sites Web. Alors que de plus en plus d’identifiants de connexion sont exposés en raison de la multiplication des incidents de violations de données, les pirates ont désormais davantage de possibilités de mener des attaques de type credential stuffing.

D’un autre côté, une attaque par force brute utilise des essais et des erreurs pour déchiffrer les mots de passe et les informations de connexion. Les cybercriminels tentent de deviner les bons mots de passe en testant un large éventail de combinaisons. Ils utilisent outils d'attaque par force brute accélérer le processus.

Les paramètres de verrouillage des tentatives de connexion peuvent empêcher les attaques par force brute, car les comptes en question seront bloqués une fois que le système détectera trop de tentatives de connexion infructueuses en peu de temps.

Dans les attaques par pulvérisation de mot de passe, les pirates tentent d'utiliser un seul mot de passe couramment utilisé sur plusieurs comptes d'une organisation. Étant donné que les acteurs malveillants n’essaient pas plusieurs mots de passe sur un seul compte en peu de temps, les attaques par pulvérisation de mots de passe peuvent contourner les paramètres de verrouillage des tentatives de connexion.

How Password Spraying Can Affect Your Company

Voici comment une attaque réussie par pulvérisation de mots de passe peut avoir un impact sur votre entreprise :

• En obtenant un accès non autorisé à vos comptes au sein de votre organisation, les acteurs malveillants peuvent exposer des informations sensibles, des dossiers financiers, des données clients et des secrets commerciaux.
• Les acteurs malveillants peuvent utiliser des comptes compromis pour effectuer des transactions frauduleuses, des achats non autorisés ou même siphonner l'argent de vos comptes professionnels.
• Une fois que les pirates obtiennent un accès non autorisé aux comptes d'utilisateurs de votre entreprise, ils peuvent chiffrer les données cruciales et demandez une rançon en échange de la clé de décryptage.
• Une attaque par pulvérisation de mot de passe peut provoquer une violation de données, ce qui peut entraîner une perte financière et une perte de réputation pour votre entreprise. Les incidents de violation de données sont susceptibles d’éroder la confiance des clients. En conséquence, ils peuvent présenter leur entreprise à vos concurrents.
• Vous aurez besoin de ressources pour répondre à une violation de données, obtenir un conseiller juridique et embaucher des experts externes en cybersécurité. Ainsi, la pulvérisation de mots de passe entraînera une fuite importante de ressources.

En un mot, une attaque réussie par pulvérisation de mots de passe aura un effet en cascade sur divers aspects de votre entreprise. Cela peut inclure des conséquences financières, opérationnelles, juridiques et de réputation.

How To Detect Password Spraying Attacks

Voici les principaux signes révélateurs d’une attaque par pulvérisation de mot de passe :

• Vous remarquez un volume élevé d’activités de connexion en peu de temps.
• Il existe un volume élevé de mots de passe rejetés pour plusieurs comptes en peu de temps.
• Vous observez des tentatives de connexion d’utilisateurs non actifs ou inexistants.
• Il existe des tentatives de connexion à partir d’adresses IP géographiquement incompatibles avec l’emplacement connu des utilisateurs.
• Des tentatives sont faites pour accéder à plusieurs comptes pendant des heures impaires ou en dehors de vos heures de bureau. Et un mot de passe est utilisé à la fois pour se connecter à ces comptes.

Vous devez examiner les journaux d'authentification pour détecter les échecs de connexion au système et aux applications des comptes valides afin de détecter les attaques par pulvérisation de mot de passe.

How To Remediate a Password Spraying Attack

Si vous soupçonnez que des pirates tentent une attaque par pulvérisation de mot de passe, voici les mesures à prendre :

• Demandez à vos employés de modifier immédiatement tous les mots de passe et d'activer MFA si l'un d'entre eux ne l'a pas encore fait.
• Déployer un Outil de détection et de réponse des points de terminaison (EDR) pour suivre toute activité malveillante sur les points finaux de votre entreprise afin d'empêcher le mouvement latéral des pirates en cas d'attaque par pulvérisation de mot de passe.
• Recherchez les signes de vol de données ou de cryptage de données et planifiez la restauration des données à partir de la sauvegarde après vous être assuré que tous les comptes sont sécurisés. Déployer un solution de sécurité des données pour sauvegarder vos données.
• Améliorez la sensibilité de vos produits de sécurité pour identifier les tentatives de connexion infructueuses sur plusieurs systèmes.
• Consultez les journaux d’événements pour comprendre ce qui s’est produit, quand cela s’est produit et comment cela s’est produit afin d’améliorer votre plan de réponse aux incidents.

Les pirates tentent d'exploiter les vulnérabilités des logiciels afin d'élever leurs privilèges. Assurez-vous donc que vos employés installent toutes les mises à jour et correctifs logiciels.

How To Prevent Password Spraying Attacks

Voici quelques stratégies pour empêcher les pirates d’accéder aux comptes d’utilisateurs au moyen d’attaques par pulvérisation de mots de passe.

# 1. Suivez une politique de mot de passe forte

Les attaques par pulvérisation de mots de passe ciblent les mots de passe faibles et faciles à deviner. La mise en œuvre d’une politique de mots de passe forts obligera vos employés à créer des mots de passe forts et complexes que les pirates ne peuvent pas deviner ou trouver en ligne. En conséquence, les comptes d’utilisateurs de votre organisation seront protégés contre les attaques par pulvérisation de mots de passe.

Voici les points clés que votre politique de mot de passe doit intégrer :

• Les mots de passe doivent comporter au moins 12 caractères, y compris des lettres majuscules, des lettres minuscules et des caractères spéciaux.
• Il devrait y avoir une liste de mots de passe refusés, ce qui signifie que les utilisateurs ne doivent pas inclure leurs dates de naissance, leurs lieux de naissance, leurs titres de poste ou les noms de leurs proches dans leurs mots de passe.
• Tous les mots de passe doivent expirer après un certain temps.
• Tous les utilisateurs doivent créer des mots de passe différents pour différents comptes.
• Il devrait y avoir un seuil de verrouillage de compte pour bloquer les comptes d'utilisateurs si plusieurs tentatives de connexion infructueuses se produisent.

Mettre en œuvre un bon outil de mot de passe peut aider les utilisateurs à créer des mots de passe forts et à éviter d'en utiliser le plus mots de passe courants.

Gestionnaires de mots de passe les mieux notés peut vous aider à déterminer si vos mots de passe sont exposés lors d'une violation de données.

# 2. Appliquer l'authentification multifacteur (MFA)

L'authentification multifacteur (MFA) ajoute une couche de sécurité supplémentaire aux comptes. Lorsqu'elle est activée, MFA demande aux utilisateurs de soumettre un ou plusieurs facteurs de vérification en plus des noms d'utilisateur et des mots de passe avant de leur accorder l'accès aux comptes en ligne.

En mettant en œuvre authentification multi-facteurs Dans votre entreprise, vous pouvez protéger les comptes en ligne contre les attaques par force brute, les attaques par dictionnaire, les attaques par pulvérisation de mot de passe et d'autres types d'attaques par mot de passe. En effet, les acteurs malveillants n'auront pas accès aux facteurs de vérification supplémentaires envoyés par SMS, e-mails ou applications d'authentification de mot de passe.

De plus, l'authentification multifacteur peut empêcher vos comptes en ligne de attaques par enregistreur de frappe.

# 3. Implémenter l'authentification sans mot de passe

L'authentification sans mot de passe utilise la biométrie, les liens magiques, les jetons de sécurité et bien plus encore pour authentifier les utilisateurs. Comme les mots de passe ne sont pas utilisés pour accéder aux comptes, les pirates ne pourront pas mener d'attaques par pulvérisation de mots de passe.

Ainsi, l’authentification sans mot de passe est un moyen infaillible de prévenir la plupart des attaques par mot de passe. Vous pouvez les explorer solutions d'authentification sans mot de passe pour sécuriser les comptes de votre entreprise.

# 4. Testez la préparation en effectuant des attaques simulées

Vous devez vérifier l'état de préparation de vos employés à lutter contre les attaques par pulvérisation de mot de passe en effectuant une simulation d'attaque par pulvérisation de mot de passe. Cela vous aidera à mieux comprendre votre situation en matière de sécurité des mots de passe et à prendre les mesures nécessaires pour améliorer la sécurité des mots de passe dans votre entreprise.

# 5. Avoir un outil de détection de connexion en place

Vous devez mettre en place un outil d'audit en temps réel pour détecter les tentatives de connexion suspectes. Le bon outil peut vous aider à identifier les tentatives de connexion suspectes sur plusieurs comptes à partir d'un seul hôte sur une courte période, les tentatives de connexion sur plusieurs comptes inactifs, les nombreuses tentatives de connexion en dehors de vos heures de bureau, etc.

Une fois que vous découvrez une activité de connexion suspecte, vous pouvez prendre des mesures correctives pour bloquer les tentatives non autorisées d'accès à vos comptes. Ces actions peuvent inclure le blocage des comptes compromis, la modification des paramètres de la boule de feu, l'activation de l'authentification multifacteur, etc.

# 6. Formez vos employés

Vos employés jouent un rôle crucial dans la protection des comptes des utilisateurs contre les attaques par pulvérisation de mots de passe. Tous les contrôles de sécurité techniques, aussi efficaces soient-ils, ne fonctionneront pas si vos employés ne créent pas de mots de passe forts et n'activent pas l'authentification multifacteur sur leurs comptes.

Organisez donc régulièrement des programmes de sensibilisation à la cybersécurité pour informer vos employés sur les diverses attaques par mot de passe et sur la manière de les prévenir. Assurez-vous qu'ils savent comment créer un mot de passe suffisamment complexe.

Conclusion

Une attaque par pulvérisation de mot de passe peut causer de graves dommages à votre entreprise, notamment une compromission de compte, une violation de données et de futures attaques de cybersécurité. Vous devriez donc augmenter la sécurité de vos mots de passe dans votre entreprise.

L'application d'une politique de mot de passe stricte, la mise en œuvre de la MFA, l'adoption de l'authentification sans mot de passe, la mise en place d'un outil de détection de connexion et la formation de vos employés peuvent vous aider à prévenir les attaques par pulvérisation de mot de passe.

Vous devez également essayer de faire preuve de créativité lors du choix de la convention de nom d'utilisateur de votre entreprise. Arrêtez d'utiliser le nom habituel : firstname.secondname@companyname.com.

Pour améliorer la sécurité des comptes dans votre entreprise, vous pouvez explorer ces plateformes de liens magiques pour une authentification sans mot de passe.