Qu’est-ce qu’une attaque par force brute ?

Qu’est-ce qu’une attaque par force brute ?

Une attaque par force brute est une cyberattaque qui cherche à déchiffrer les mots de passe, à deviner les identifiants et à déterminer les clés de chiffrement. Dans une attaque par force brute typique, les pirates malveillants codent des bots pour qu’ils cherchent aussi longtemps que nécessaire, jusqu’à ce qu’ils aient testé toutes les combinaisons possibles.

Imaginez un bot persistant qui tente de deviner vos identifiants. Au lieu d’abandonner après quelques essais, le bot essaie aussi longtemps que nécessaire jusqu’à ce qu’il ait testé toutes les combinaisons possibles. Voilà comment fonctionne une attaque par force brute.

Les conséquences potentielles : une atteinte à la vie privée, une fuite d’informations sensibles ou une perte financière. Dans cet article, nous verrons comment fonctionnent les attaque par force brute et ce que vous pouvez faire pour éviter qu’elles ne frappent votre entreprise.

Table des matières

> Les différents types d’attaques par force brute

• Les attaque par force brute simples
• Les attaques par dictionnaire
• Les attaques par force brute hybrides
• Les attaques par force brute inversées
• Le Credential Stuffing

> Pourquoi les attaquants mènent-ils des attaques par force brute ?

> Les outils d’attaque par force brute

> Comment prévenir le piratage de mots de passe par force brute

> Conclusion

Les différents types d’attaques par force brute

Les cyberattaquants ont plusieurs atouts dans leur manche et utilisent de nombreux types d’attaques par force brute pour voler des données sensibles.

Les attaques par force brute simples

Il n’y a rien de plus simple. Avant d’essayer les méthodes d’automatisation, un pirate peut tenter sa chance en devinant simplement les identifiants de connexion d’un utilisateur, sans utiliser de logiciel. Il commence généralement par des combinaisons de mots de passe courantes (par exemple, password1234, 123456, 0000) avant de passer à des mots de passe possibles plus détaillés.

Les utilisateurs ciblés peuvent mettre leurs comptes en danger en utilisant le même mot de passe pour plusieurs comptes, ou juste en incluant des noms et des dates faciles à deviner.

Les attaques par dictionnaire

Les attaques par dictionnaire sont des attaques par force brute qui utilisent la sémantique et les attaques passées pour craquer les mots de passe faibles. Contrairement aux attaques par force brute simples, elles ne parcourent pas des listes indéfinies de mots de passe sans rapport entre eux. Au contraire, elles contiennent généralement un nombre limité, pertinent et bien sélectionné de mots et de phrases. Les attaques par dictionnaire peuvent être effectuées manuellement par l’attaquant, ou automatisées à l’aide de bots.

Un intrus peut lancer une attaque par dictionnaire s’il connaît déjà l’e-mail ou le nom d’utilisateur de l’utilisateur. Par exemple, si le compte cible utilise « jack20ny87 » comme nom d’utilisateur, un pirate peut facilement déterminer que le compte appartient à un utilisateur nommé Jack, né en 1987 et vivant actuellement à New York. À l’aide des informations recueillies lors de précédentes violations de données, les pirates peuvent ensuite passer en revue les mots de passe utilisés par d’autres noms d’utilisateur similaires, en ajoutant des caractères spéciaux et en remplaçant les lettres par des chiffres (et vice versa). Voici quelques exemples : « Jackny21 ! », « Jackny872021 », etc.

De plus en plus d’utilisateurs créent des mots de passe forts, donc les attaques par dictionnaire ont beaucoup moins de chances de donner des résultats.

Les attaques par force brute hybrides

Les attaques par force brute hybrides combinent les techniques des attaques simples et des attaques par dictionnaire pour craquer des mots de passe faibles. En utilisant un raisonnement logique, des caractères mixtes/numériques et un peu d’imagination, l’attaquant peut utiliser des outils pour trouver des mots de passe combinés simples, tels que « J4ck1234pass », « Jackyankees87 », ou « J4ck1987ny ».

Les attaques par force brute inversées

Dans une attaque par force brute inversée, tout commence par un mot de passe connu. Les pirates partent du mot de passe connu et parcourent des listes de millions de noms d’utilisateurs de compte jusqu’à ce qu’ils en trouvent un qui corresponde au mot de passe en question.

Les violations de données fréquentes permettent des attaques par force brute inversée, car elles exposent des milliers de mots de passe et d’autres types de données personnelles. Les bases de données des entreprises, des organisations et même des gouvernements sont vulnérables aux violations. Les plus importantes d’entre elles peuvent faire l’objet de reportages dans les médias grand public, ce qui attire l’attention des attaquants.

Le Credential Stuffing

Nous sommes nombreux à utiliser le même nom d’utilisateur et le même mot de passe pour plus d’un site web. Le problème d’avoir les mêmes identifiants pour plusieurs comptes est que cela nous rend vulnérables au Credential Stuffing.

En cas de violation des données sur l’un des sites web que vous utilisez, les fraudeurs peuvent prendre vos identifiants et les utiliser sur des milliers d’autres sites web. Voilà pourquoi il est souvent recommandé de modifier tous vos mots de passe si vous apprenez que vos identifiants ont été compromis. Pour en savoir plus sur le Credential Stuffing, cliquez ici.

Pourquoi les attaquants mènent-ils des attaques par force brute ?

Les attaques par force brute sont lourdes et chronophages. Les cybercriminels peuvent passer des mois (voire des années) à essayer de craquer des mots de passe et d’accéder à des comptes d’utilisateurs, car la récompense peut être considérable.

Lorsque des criminels accèdent à un compte personnel, ils peuvent facilement voler l’argent ou l’identité de l’utilisateur, voire vendre les identifiants à un tiers. De nombreuses escroqueries par hameçonnage commencent par des attaques par force brute.

Mais il ne s’agit pas seulement de voler des données personnelles. Les pirates peuvent forcer des sites web pour de nombreuses autres raisons :

• exploiter les publicités, et gagner d’énormes commissions en plaçant des publicités non sollicitées sur des sites web populaires ;
• profiter de la vente de données personnelles et sensibles à des annonceurs sans autorisation ;
• diffuser des logiciels malveillants par le biais de liens et de sites web frauduleux, et remonter des comptes d’utilisateur vers des réseaux plus vastes ;
• se préparer aux cyberattaques contre les grandes entreprises. Une fois que les bots ont infecté plusieurs ordinateurs, les pirates peuvent lancer une attaque par déni de service distribuée (DDoS) ;
• cibler des entreprises spécifiques pour tenter de ternir leur réputation ou de les ruiner financièrement.

L’objectif des attaquants par force brute n’est pas seulement d’acquérir quelques identifiants. Si possible, ils utiliseront les identifiants pour lancer des attaques plus larges et menacer des réseaux entiers.

Les outils d’attaque par force brute

La plupart des cybercriminels utilisent une série d’outils pour lancer plusieurs attaques contre un site web ou une page de connexion spécifique. Ils utilisent des bots pour parcourir des listes de milliers de combinaisons de mots de passe jusqu’à ce qu’ils trouvent un moyen d’accéder à des comptes personnels. Les attaques sont lentes, organisées et calculées, et ne se font pas en tapant des chaînes aléatoires de caractères, de chiffres et de caractères spéciaux. Voici quelques-uns des outils d’attaque par force brute les plus courants :

• Aircrack-ng : cet outil populaire effectue des attaques par dictionnaire automatiques pour tenter de craquer les mots de passe wifi.
  
• John the Ripper : un logiciel gratuit de craquage de mots de passe qui fonctionne sur quinze plateformes différentes. Il combine plusieurs craqueurs de mots de passe et peut être utilisé pour effectuer des attaques par force brute simples et par dictionnaire.
• Crack : un programme Unix de craquage de mots de passe qui permet aux administrateurs de localiser les utilisateurs dont les mots de passe sont faibles. C’est le premier craqueur autonome développé pour Unix.
  
• Cain and Abel : un autre outil de récupération de mots de passe développé pour Microsoft Windows, qui simplifie et automatise de nombreuses méthodes d’attaque.
  
• Hashcat : l’un des outils de craquage de mots de passe les plus rapides. Il peut être utilisé pour lancer des attaques par force brute simples et par dictionnaire, des attaques hybrides et de nombreux autres types de cyberattaques.
  

Les attaques par force brute nécessitent une énorme puissance de calcul. Les cybercriminels utilisent souvent plusieurs outils et ordinateurs pour tenter de craquer rapidement le plus grand nombre de mots de passe possible. Ils sont également connus pour utiliser un botnet afin de distribuer leurs attaques sur des dizaines, des centaines, voire des milliers d’appareils.

Comment prévenir le piratage de mots de passe par force brute

Vous ne devriez jamais laisser votre site web, votre application web, votre application mobile ou vos API exposés aux attaques par force brute, qui sont de plus en plus courantes. Évitez les violations de données et renforcez la sécurité des réseaux en encourageant l’utilisation de mots de passe forts dans votre entreprise. Dans l’idéal, les employés devraient utiliser des mots de passe complexes contenant une combinaison de lettres aléatoires, de chiffres et de caractères spéciaux.

Si les utilisateurs de votre entreprise changent souvent de compte, vous pouvez également utiliser un gestionnaire de mots de passe avancé.

En tant qu’administrateur, vous pouvez protéger votre entreprise contre les attaques par force brute de plusieurs façons :

• introduire une politique de verrouillage ou de retards progressifs ;
• utiliser un CAPTCHA bien conçu et respectueux de la vie privée ;
• exiger des mots de passe forts de tous les utilisateurs enregistrés ;
• recommander aux utilisateurs de changer de mots de passe tous les 6 à 12 mois ;
• activer l’authentification à deux facteurs (2FA), voire l’authentification multifacteur, si possible ;
• utiliser une solution de détection des bots pour bloquer les abus d’identifiants et les piratages de comptes.

Vous cherchez plus d’informations sur la façon de protéger votre entreprise contre les attaques ? Pour en savoir plus sur la protection votre site web, vos serveurs, vos applications et vos API, cliquez ici.

Conclusion

La cybersécurité ne doit jamais être prise à la légère. Les attaques par force brute revêtent de nombreuses formes et peuvent causer des dommages graves et irréversibles aux utilisateurs, à leurs biens, voire à des réseaux entiers et à des organisations, y compris votre entreprise. Les cybercriminels utilisent divers outils et techniques pour s’introduire dans des comptes, accéder à des informations sensibles et semer le chaos.

La prévention contre les attaques par force brute et d’autres cyberattaques est la seule façon de tenir les attaquants à distance. Activez l’authentification à deux facteurs et encouragez les utilisateurs à définir des mots de passe forts et uniques. Lors du traitement des paiements et des transferts, vous devriez toujours envoyer et demander des numéros d’identification personnels pour garantir une sécurité maximale.

Aucune défense unique ne peut assurer une protection totale contre les attaques par force brute, il s’agit d’avoir une politique de sécurité sensée et une variété d’outils différents.