La tendance des ransomwares par identifiants compromis signale un changement de tactique chez les attaquants

Pendant des années, le conseil standard pour éviter les ransomwares se résumait à une chose : corrigez vos logiciels avant que les attaquants n’exploitent la vulnérabilité. Ce conseil reste important, mais il ne raconte plus toute l’histoire. Selon une nouvelle étude de Sophos, le phishing, les attaques par force brute et autres menaces basées sur l’identité ont désormais dépassé les vulnérabilités logicielles comme principal moyen pour les gangs de ransomwares d’obtenir leur premier accès au sein d’un réseau.

C’est un changement significatif. Cela signifie que même les organisations dotées d’un solide programme de correctifs peuvent rester vulnérables si le mot de passe d’un employé est volé, deviné ou réutilisé à partir d’une ancienne fuite de données. Pour les internautes du quotidien, le constat est similaire : vos identifiants, pas seulement vos logiciels, sont désormais clairement dans la ligne de mire des attaquants.

Pourquoi les attaques basées sur l’identité gagnent du terrain

Les vulnérabilités logicielles obligent les attaquants à trouver une faille non corrigée, à développer ou à acheter un exploit, et à espérer que la cible n’a pas encore mis à jour. Cela demande du temps et des compétences techniques. Les identifiants compromis, en revanche, se trouvent souvent directement dans des bases de données ayant fuité lors de brèches sans rapport, prêtes à être testées contre d’autres services par bourrage d’identifiants. Les e-mails de phishing restent peu coûteux à envoyer et il suffit de tromper une seule personne. Les outils de force brute peuvent deviner discrètement des mots de passe faibles ou réutilisés 24 heures sur 24.

L’avertissement de Sophos reflète une tendance plus large dans le secteur de la sécurité : les attaquants suivent le chemin de la moindre résistance, et ce chemin passe actuellement par les identifiants humains plutôt que par le code des serveurs. Cela concerne particulièrement les secteurs déjà sous pression. Les institutions financières, par exemple, voient les opérateurs de ransomwares cibler de plus en plus les écosystèmes de fournisseurs et les failles logicielles tierces, et les intrusions basées sur l’identité ajoutent une couche de risque supplémentaire à cette exposition. Une fois qu’un attaquant dispose d’identifiants de connexion valides, il peut souvent se déplacer dans un réseau en passant pour un utilisateur légitime, ce qui rend la détection bien plus difficile que le repérage d’une tentative d’exploitation évidente.

Le mot de passe reste le maillon faible

La vérité inconfortable est que de nombreux incidents de ransomware ne commencent pas par un piratage sophistiqué. Ils commencent par un mot de passe réutilisé sur plusieurs comptes, un e-mail de phishing suffisamment convaincant, ou une connexion qui n’était protégée par aucun second facteur d’authentification. Les attaquants n’ont pas besoin de casser le chiffrement ni d’écrire un malware personnalisé s’ils peuvent simplement se connecter.

C’est pourquoi l’hygiène des identités est devenue aussi importante que les mises à jour logicielles. Un seul mot de passe compromis, surtout s’il est réutilisé entre comptes professionnels et personnels, peut offrir à un attaquant un point d’entrée d’apparence légitime qui contourne de nombreux outils de sécurité traditionnels conçus pour détecter les malwares ou les tentatives d’exploitation.

Ce que cela signifie pour vous

Si vous êtes un utilisateur individuel, ce changement dans les points d’entrée des ransomwares vous rappelle que vos habitudes de sécurité personnelles ont des répercussions plus larges. Des mots de passe faibles ou réutilisés, en particulier ceux liés à une messagerie professionnelle ou à des comptes cloud, peuvent devenir la porte d’entrée dont un attaquant a besoin, que la cible soit vous personnellement ou une organisation à laquelle vous êtes connecté.

La bonne nouvelle, c’est que les défenses contre les attaques basées sur l’identité sont bien comprises et accessibles à tous :

  • Utilisez un gestionnaire de mots de passe pour générer et stocker des mots de passe uniques et complexes pour chaque compte, éliminant ainsi le risque de réutilisation d’identifiants.
  • Activez l’authentification multifacteur (MFA) partout où elle est proposée. Même si un mot de passe est volé, la MFA peut empêcher un attaquant de se connecter.
  • Vérifiez votre exposition aux violations à l’aide de services de surveillance des fuites réputés afin de savoir quand un mot de passe doit être changé immédiatement.
  • Méfiez-vous des demandes de connexion ou des e-mails inattendus vous invitant à vérifier vos identifiants, caractéristiques des tentatives de phishing visant à récolter des identifiants.
  • Envisagez un VPN lorsque vous utilisez des réseaux publics ou non fiables, ce qui réduit le risque d’interception de votre trafic de connexion, en particulier sur les Wi-Fi non sécurisés où le vol d’identifiants est plus facile.

Garder une longueur d’avance sur la menace

Les groupes de ransomwares s’adaptent rapidement, et le virage vers les attaques basées sur l’identité montre qu’ils ciblent la faiblesse la plus accessible plutôt que la plus impressionnante techniquement. Cette faiblesse, dans bien des cas, est un mot de passe qui n’a pas été changé depuis des années ou un compte sans MFA activée.

Le changement décrit par Sophos ne signifie pas que les correctifs logiciels n’ont plus d’importance. Ils en ont. Mais il confirme que la sécurité des identifiants mérite une attention égale. Renforcer vos mots de passe, activer la MFA et rester vigilant face aux tentatives de phishing ne sont plus des options facultatives ; ce sont des défenses essentielles contre la manière la plus courante dont les ransomwares franchissent la porte aujourd’hui.

Prendre ces mesures dès maintenant, avant qu’une notification de violation n’arrive dans votre boîte de réception, est le moyen le plus efficace de garder une longueur d’avance sur des attaquants qui misent de plus en plus sur les identifiants volés plutôt que sur les failles logicielles.