Les mots de passe constituent un pilier de la sécurité depuis l’apparition du langage humain. Ce secret partagé permet d’ouvrir aussi bien des portes physiques que numériques. Mais comme tout secret, s’il est révélé à la mauvaise personne, il peut être utilisé à des fins malveillantes.
Les mots de passe offrent aux cybercriminels un moyen de contourner le système de sécurité. Cette porte est grande ouverte si un mot de passe n’est pas sécurisé, s’il est partagé ou s’il fait l’objet d’une tentative d’hameçonnage. La gestion des mots de passe contribue à réduire les risques au sein d’une organisation.
Voici un aperçu de certains des risques liés à l’utilisation des mots de passe, ainsi que des conseils pour bien les gérer.
Le problème des mots de passe
Les mots de passe perdurent car les utilisateurs les comprennent ; ils sont compris par les développeurs de sites web et d’applications et offrent une sécurité de base. C’est pour ces raisons que les mots de passe continueront d’exister, même face à des initiatives telles que le système sans mot de passe FIDO.
Un mot de passe sécurisé constitue l’identifiant de connexion le plus fondamental, mais les mots de passe sont loin d’être une mesure de sécurité fiable. En raison des portes qu’un mot de passe peut ouvrir, cet identifiant est devenu une cible privilégiée des cyberattaques. Le rapport 2022 sur les enquêtes relatives aux fuites de données (DBIR) a identifié le vol d’identifiants comme l’une des quatre principales méthodes utilisées pour compromettre des données.
Le rapport annuel 2022 sur les failles d’identité a mis en évidence des statistiques stupéfiantes concernant les mots de passe :
● 1,7 milliard d’identifiants (combinaisons d’adresse e-mail et de mot de passe ou de nom d’utilisateur et de mot de passe) ont été exploités par des pirates informatiques en 2021
● Un an plus tard, 70 % des utilisateurs utilisaient toujours des mots de passe compromis
● Le mot de passe le plus fréquemment réutilisé en clair (c’est-à-dire non chiffré) était « password »
● 60 % des utilisateurs réutilisent leurs mots de passe. Une enquête menée par Google a révélé que 52 % d’entre eux réutilisent leurs mots de passe sur plusieurs comptes.
● Seuls 20 % des utilisateurs disposent d’un gestionnaire de mots de passe
Les coûts liés à la divulgation des mots de passe, au vol et aux accès non autorisés ne cessent de s’alourdir. Le rapport 2022 du Ponemon Institute intitulé « Le coût des menaces internes » a révélé que :
● Le coût lié au vol d’identifiants a augmenté de 65 %, passant de 2,79 millions de dollars en 2020 à 4,6 millions de dollars en 2021/2022
● La maîtrise d’une menace interne prend environ 85 jours
● Les incidents dont la maîtrise a pris plus de 90 jours ont coûté, en moyenne, 17,19 millions de dollars
Comment les mots de passe se retrouvent entre les mains des cybercriminels
Parmi les méthodes les plus courantes de vol ou de compromission des mots de passe, on peut citer :
Infection par un logiciel malveillant
Les logiciels malveillants conçus pour voler des données transmettent aux cybercriminels qui les contrôlent toutes les combinaisons de mot de passe, nom d’utilisateur et adresse e-mail saisies par un utilisateur.
Un rapport de SpyCloud a révélé qu’en 2021, le logiciel malveillant « RedLine Stealer » était largement utilisé pour voler les identifiants et d’autres données des utilisateurs de Windows. Ce logiciel malveillant était proposé à la vente sur un site du dark web au prix de 800 dollars, ou dans le cadre d’un abonnement « malware-as-a-service » à 200 dollars par mois.
Fuite de données
Les fuites de données permettent aux cybercriminels d’accéder à des mots de passe volés ainsi qu’à des paires de noms d’utilisateur et d’adresses e-mail, c’est-à-dire à des identifiants de connexion. Par exemple, la fuite de données « Collection 1-5 » de 2019 a exposé 2,2 milliards de mots de passe et d’adresses e-mail.
Les fuites de données surviennent généralement à la suite d’un accès non autorisé à une base de données, d’une erreur de configuration de sécurité rendant la base de données vulnérable, d’une divulgation accidentelle due à une erreur d’envoi d’e-mail ou d’un piratage délibéré. Dans le cycle de la cybercriminalité, une base de données compromise permet alors d’obtenir davantage d’identifiants de connexion afin de mener d’autres attaques.
Hameçonnage
Le phishing est l’une des méthodes les plus courantes utilisées pour voler des mots de passe. En effet, le rapport DBIR 2022 a identifié le phishing comme l’une des quatre principales méthodes utilisées lors des violations de données pour accéder aux identifiants de connexion. Le spear-phishing constitue un problème particulier pour les administrateurs système et les utilisateurs privilégiés, qui sont ciblés en raison de leurs identifiants d’accès privilégiés.
Les fournisseurs tiers constituent des cibles privilégiées pour les pirates informatiques dans le cadre d’attaques liées aux mots de passe. Par exemple, dans le cas de l’attaque par ransomware contre Colonial Pipeline en 2021, le vol d’un seul mot de passe appartenant à un ancien employé a été mis en cause dans cette attaque, qui a entraîné l’interruption temporaire de la moitié de l’approvisionnement en carburant des États-Unis.
Exposition accidentelle et menaces internes
Les salariés ont tendance à partager leurs mots de passe avec leurs collègues et à les réutiliser. Une enquête récente a révélé que près de 42 % des salariés partagent leurs mots de passe avec leurs collègues. La même étude a montré qu’un salarié sur quatre avait toujours accès à d’anciens comptes, même après avoir quitté l’entreprise.
La divulgation accidentelle de mots de passe ou les accès non autorisés constituent un facteur majeur contribuant aux cyberattaques et aux fuites de données ; le rapport DBIR 2022 révèle en effet que 82 % des attaques impliquent un être humain.
Cinq conseils pratiques pour bien gérer vos mots de passe
Voici cinq conseils pour gérer vos mots de passe et réduire les risques :
Configurer et appliquer des politiques de mots de passe
Les politiques en matière de mots de passe constituent la première étape pour réduire les risques liés à leur utilisation. Ces politiques englobent tous les aspects liés à la gestion des mots de passe et à leur sécurité. Par exemple, une politique doit prévoir le stockage sécurisé des mots de passe ainsi que la fréquence à laquelle ceux-ci doivent être modifiés.
Les politiques en matière de mots de passe doivent également préciser clairement comment les collaborateurs doivent créer et gérer leurs mots de passe. Ces politiques doivent être communiquées aux collaborateurs, et leur gestion doit être automatisée tout au long de leur cycle de vie afin de garantir qu’elles soient acceptées et comprises dans l’ensemble de l’entreprise.
Utilisez un gestionnaire de mots de passe
Les gestionnaires de mots de passe tels que Lastpass et les générateurs de mots de passe réduisent la fatigue liée aux mots de passe et peuvent ainsi contribuer à éliminer la réutilisation et le partage des mots de passe. Si vous utilisez un gestionnaire de mots de passe, vous n’avez alors, techniquement, qu’un seul ensemble d’identifiants à retenir : le mot de passe principal permettant de vous connecter à votre gestionnaire de mots de passe.
Une fois que vous vous êtes connecté au gestionnaire de mots de passe à l’aide de votre mot de passe principal, celui-ci s’occupe du reste : il stocke, génère, synchronise et met à jour vos mots de passe. Votre mot de passe principal sert à chiffrer les mots de passe stockés dans votre coffre-fort.
Cependant, les gestionnaires de mots de passe restent sous-utilisés dans les entreprises. Il en existe de nombreux, mais les services basés sur le cloud peuvent s’avérer plus faciles à déployer et à administrer. Optez pour un gestionnaire de mots de passe capable de fonctionner sur différents systèmes d’exploitation et de protéger d’autres types de données, y compris les mots de passe.
Utilisez une authentification à deux facteurs (2FA/MFA)
L’utilisation d’un deuxième facteur, tel qu’un code d’authentification envoyé sur un téléphone portable, constitue un moyen efficace d’ajouter un niveau de sécurité supplémentaire à l’accès à une application. Toutefois, vous ne devez pas considérer l’authentification à deux facteurs (2FA) comme garantissant un contrôle d’accès sans aucun risque.
Les cybercriminels cherchent déjà des moyens de contourner l’authentification à deux facteurs. Si vous le pouvez, mettez en place l’authentification à deux facteurs (2FA), mais complétez cette mesure en suivant nos deux conseils ci-dessous pour réduire les risques liés aux mots de passe :
Formez vos collaborateurs aux bonnes pratiques en matière de mots de passe
Les règles relatives aux mots de passe doivent refléter les normes du secteur de la cybersécurité en matière de création, d’utilisation et de gestion des mots de passe. Toutefois, pour que ces règles soient respectées, il est indispensable que les collaborateurs comprennent pourquoi il est essentiel d’utiliser des mots de passe sécurisés.
Les programmes de formation à la sensibilisation à la cybersécurité comprennent généralement des modules consacrés à la création de mots de passe forts et à la protection de ces derniers.
Utilisez des simulations de hameçonnage pour réduire le vol de mots de passe
Le hameçonnage est l’une des principales méthodes utilisées pour voler des mots de passe et d’autres identifiants. En formant ses collaborateurs au fonctionnement du hameçonnage et aux signes révélateurs d’un message de hameçonnage, une entreprise peut contribuer à prévenir le vol d’identifiants par ce biais.
Les plateformes de simulation d’hameçonnage offrent un moyen centralisé et personnalisable d’envoyer des messages d’hameçonnage simulés à votre personnel. Une plateforme de simulation d’hameçonnage avancée vous permettra également d’adapter ces messages afin qu’ils correspondent aux différents rôles au sein de votre entreprise.
Les entreprises continueront probablement à utiliser des mots de passe pendant encore quelque temps, ce qui accroît le risque de cyberattaque. Toutefois, en mettant en œuvre les cinq conseils présentés ici, vous pouvez réduire les risques liés à l’utilisation des mots de passe par vos collaborateurs. Ces conseils permettent de prévenir les fuites de données et les infections par des ransomwares, et aident votre entreprise à se conformer à la réglementation en matière de protection des données.