Entre août et octobre 2019, augmentation mensuelle du nombre d’attaques par force brute. Durant la même période, environ deux tiers des malwares détectés comportaient une fonction de collecte de mots de passe. Parmi ceux-ci, Emotet a été le plus répandu (56 % des détections), suivi d’Agent Tesla (25 %).

Selon l’étude 2019 Global Password Security Report de LastPass, un collaborateur d’une grande entreprise (comptant plus de 1000 salariés) doit en moyenne mémoriser jusqu’à 25 identifiants distincts. Dans les petites entreprises, cette moyenne atteint même 85. Cela amène inévitablement certains employés à réutiliser des mots de passe ou des variantes faciles à retenir – et donc à découvrir – ou encore à se servir de mots de passe aisément découverts par une attaque par dictionnaire.

Des cyberattaques dopées à l’IA

Le risque d’attaques par dictionnaire ou par force brute accentué si le cybercriminel peut recueillir des informations sur l’utilisateur via les réseaux sociaux, multipliant ainsi ses chances d’identifier des centres d’intérêt que l’utilisateur pourrait reprendre dans ses mots de passe habituels. Ils peuvent également exploiter des données ayant fuité précédemment au sujet de la cible afin de deviner plus efficacement sa façon de construire ses mots de passe.

Il est probable que les outils de force brute utilisant l’IA vont proliférer ou être utilisés en conjonction avec les techniques actuelles permettant de deviner les mots de passe. Des outils tels que Hashcat ou John the Ripper font déjà preuve d’une grande efficacité. Cependant, il existe un nombre maximal de mots de passe que ces programmes peuvent deviner et ceux-ci nécessitent des années de codage manuel et d’améliorations pour parvenir à ce niveau de précision.

Force brute

Heureusement, même si les outils d’attaques par force brute ne cessent de se perfectionner en termes d’efficacité, il existe toujours des moyens de s’en protéger. Les utilisateurs peuvent appliquer des mesures simples, à commencer par l’utilisation d’un mot de passe fort et distinct pour chaque identifiant. Ils peuvent également éviter l’usure des mots de passe au fil du temps en se servant d’un gestionnaire de mots de passe pour leur renouvellement.

Au-delà des règlements et des formations (destinées à sensibiliser les utilisateurs) ou encore des mesures techniques, les entreprises peuvent atténuer l’efficacité des attaques par force brute en appliquant l’authentification multifacteurs et en limitant le nombre de saisies d’un identifiant incorrect avant le blocage temporaire du compte correspondant.