Qu’est-ce qu’une attaque de Credential Stuffing ? Exemples et mesures d’atténuation

À propos du Credential Stuffing

Qu’est-ce que le credential cracking ?

Le credential cracking (OAT-007) est une tentative malveillante de trouver des identifiants de connexion utilisables en utilisant des outils automatisés de cassage de mots de passe par force brute, testant un grand nombre de valeurs différentes pour les noms d’utilisateur et les mots de passe.

Une attaque de credential cracking, parfois appelée attaque par force brute, réussit particulièrement bien contre les utilisateurs qui choisissent des mots de passe simples et faciles à deviner – ce qui n’est pas une bonne façon de prévenir une attaque par force brute. Les mots de passe faciles incluent tout mot du dictionnaire, tout mot de passe de moins de douze caractères et tout mot de passe contenant des informations personnelles.

Exemples d’attaques de Credential Stuffing et de Credential Cracking

Ces exemples réels de credential stuffing soulignent l’importance de prévenir les account takeovers.

Dunkin’ Donuts

Début 2019, Dunkin’ Donuts a annoncé avoir été victime d’une attaque d’ affectant 1 200 de leurs 10 millions de clients. Les cybercriminels ont utilisé des identifiants provenant de précédentes violations de données pour accéder aux comptes DD Perks rewards, qui contenaient les noms des membres, les adresses email, un numéro de compte DD Perks à 16 chiffres, et un code QR DD Perks. Le but des hackers dans cette attaque était de vendre l’accès aux comptes compromis, ainsi que les points de récompense stockés à l’intérieur.

Quelques mois plus tard, le lancement tant attendu du service de streaming Disney+ a été entaché de perturbations alors que les clients tentaient sans succès d’accéder à leurs comptes. La source du problème ? Le credential stuffing. Quelques heures seulement après le lancement, les identifiants de compte Disney+ étaient mis en vente sur des forums du dark web. En testant de gros volumes de noms d’utilisateur et de mots de passe précédemment volés sur le site de streaming Disney+, les hackers pouvaient facilement identifier les paires d’identifiants valides.

Poq

La société de commerce d’applications Poq fournit une plateforme SaaS qui permet aux détaillants de créer de belles applications mobiles. Des attaques agressives de credential stuffing ont exposé les clients de Poq à des account takeovers et à la fraude, menaçant la réputation de l’entreprise. Poq a mis en œuvre la solution de protection contre les bots de DataDome au niveau de la plateforme, et propose désormais la protection contre le credential stuffing en tant que service à valeur ajoutée.

Pourquoi les attaquants utilisent-ils le credential stuffing et le credential cracking ?

Lorsqu’une attaque de credential stuffing ou de credential cracking réussit, les hackers obtiennent l’accès au compte d’un utilisateur. C’est ce qu’on appelle l’account takeover — l’accès illégal à un compte utilisateur pour commettre une fraude.

Une fois qu’un attaquant est à l’intérieur d’un compte utilisateur, il peut monétiser les comptes compromis car il a désormais accès aux comptes bancaires liés, aux cartes de crédit et aux données personnelles qu’il peut utiliser pour le vol d’identité.

La forme la plus rentable d’account takeover est la fraude à la carte de crédit. Le carding est la pratique répandue consistant à utiliser des numéros de carte de crédit volés pour soit revendre les informations de paiement piratées sur le dark web, soit acheter des biens et services en utilisant de faux comptes avec les informations de carte de crédit volées.

Les attaques de carding augmentent généralement pendant les principales périodes de shopping ou lorsque les hackers savent que le site web qu’ils attaquent reçoit un grand nombre de visiteurs. Souvent, les attaques de carding passent inaperçues dans le trafic ou sont perçues comme des anomalies de trafic.

Une autre attaque rentable d’account takeover consiste à voler les données privées des clients, qui peuvent ensuite être vendues sur le dark web ou divulguées en ligne à des fins malveillantes. Lorsqu’elles sont divulguées en grand nombre, vous risquez :

• De perdre définitivement un grand pourcentage des utilisateurs qui ont été piratés.
• De lourdes amendes en vertu des cadres de protection des données tels que le RGPD et le CCPA.
• Des pertes de biens ou de services, ainsi que des frais de rétrofacturation et de traitement des cartes.
• Une perte de productivité dans la plupart des départements de votre entreprise.

Les organisations principalement ciblées par les attaques de credential stuffing comprennent le commerce électronique, les institutions financières, les réseaux sociaux, les technologies de l’information, les restaurants, le commerce de détail, ainsi que les industries du voyage et du transport. Cela dit, toute organisation avec une page de connexion est à risque d’une attaque de credential stuffing ou de cracking.

Comment fonctionnent les attaques de credential stuffing et de credential cracking ?

Le credential stuffing repose sur le problème répandu de la réutilisation des mots de passe pour accéder aux comptes en ligne. Parce que 81 % des individus réutilisent les mêmes mots de passe ou des mots de passe similaires pour plusieurs comptes, les acteurs malveillants ayant accès à une liste d’identifiants divulgués trouvent facilement des combinaisons de login et de mot de passe valides. Voici l’anatomie d’une attaque typique de credential stuffing :y time finding valid login and password combinations. Here’s the anatomy of a typical credential stuffing attack:

1. Un attaquant crée un ou plusieurs bots qui peuvent accéder aux pages de connexion de plusieurs sites web en parallèle. Ces bots sont souvent déguisés en humains et peuvent utiliser de nombreuses IP différentes.
2. Les bots passent rapidement leur liste d’identifiants volés sur les pages de connexion des sites web et des applications qu’ils ciblent.
3. Une fois qu’ils ont accédé à un compte utilisateur, le bot est programmé pour prendre des informations personnellement identifiables, des cartes de crédit, des comptes bancaires liés, etc. C’est maintenant un account takeover.
4. Le hacker finit par recueillir une vaste quantité d’informations précieuses qu’il peut soit revendre sur le dark web, soit garder pour d’autres fins malveillantes.

Le processus est relativement similaire pour le credential cracking, sauf que les bots ne sont pas programmés pour passer en revue une liste d’identifiants volés. À la place, ils passent rapidement en revue des modèles de mots de passe, des dictionnaires ou des phrases courantes jusqu’à ce qu’ils accèdent à un compte.

10 000 des mots de passe les plus courants peuvent accéder à 98 % de tous les comptes.

Lorsqu’ils réussissent à prendre le contrôle d’un compte en ligne, les cybercriminels peuvent effectuer des transactions non autorisées, à l’insu des victimes. Ces transactions passent souvent inaperçues pendant longtemps, car se connecter n’est pas une action suspecte. Cela fait partie de la logique de fonctionnement de tout site web avec une page de connexion.

Pour vous donner une idée de l’ampleur d’une attaque de credential stuffing : un client de DataDome a été attaqué avec 5,7 millions de requêtes provenant de 250 000 adresses IP différentes et 8 000 systèmes autonomes à travers 215 pays (y compris les territoires dépendants).

Les hackers derrière cette attaque étaient sophistiqués. Ils ont essayé de comprendre comment la solution DataDome fonctionnait (et pourquoi elle bloquait tous leurs bots). Au début, ils pensaient qu’ils étaient confrontés à un WAF. Chaque adresse IP ne générait que 10 à 20 requêtes pour tenter d’éviter la détection.

Les conséquences potentielles d’une attaque de credential stuffing

Comment détecter les attaques de credential stuffing

Prévenez le Credential Stuffing, le Credential Cracking et les ATO Attacks avec DataDome Account Protect