Mot de passe sécurisé, nom d'utilisateur exposé: recette pour le désastre

Lors de chacune des attaques récentes sur Evernote, Facebook, Twitter et autres, les entreprises impliquées ont rapidement signalé que les mots de passe étaient sécurisés. Mais les informations des utilisateurs ont une vie propre et les effets d'une attaque sur un individu peuvent être ressentis bien après la fin de l'attaque.

Les attaques que nous avons vues

Généralement, quand une grande entreprise a été compromise, on entend dire que les informations de paiement sont toujours sécurisées, que les mots de passe étaient cryptés, mais que d'autres informations étaient accessibles. Cela comprend généralement les noms d'utilisateur et les courriels.

Pour la plupart d'entre nous, cela pourrait ne pas sembler dangereux. Après tout, nous envoyons tout le temps nos propres courriels - nous les mettons même en ligne. Mais il y a des risques pour les utilisateurs qui ont même exposé cette petite quantité d'informations.

Derek Halliday, chef de produit principal chez Lookout Mobile Security, a expliqué à SecurityWatch comment ces informations peuvent rendre les utilisateurs cibles. "Les informations de compte peuvent être potentiellement utilisées pour permettre le spearphishing, car elles fournissent des informations contextuelles uniques sur les personnes - un moyen de les contacter", a-t-il déclaré. "Et le fait qu’ils se soient inscrits à un moment donné pour un service particulier."

C’est la raison pour laquelle des courriels d’alerte légitimes rappellent fréquemment aux utilisateurs qui ont pu voir leurs informations que personne ne leur demandera leur mot de passe. Si un pirate informatique sait que vous utilisez Evernote (par exemple), vous devez créer un message qui semble provenir d’Evernote et l’envoyer à l’adresse e-mail que vous utilisez pour gérer votre compte. Cela vous demandera peut-être de fournir votre mot de passe ou des informations de paiement, ou peut-être vous inciter à cliquer sur un lien malveillant.

"Nous avons vu des cybercriminels disposés à s'engager dans le" long con ", a déclaré Mark Risher, cofondateur et PDG d'Impermium. "Une attaque en plusieurs étapes qui va au-delà du vol direct de données sensibles."

"Lorsque des criminels accèdent à un compte de réseau social, ils peuvent souvent trouver des informations personnelles qui confèrent une légitimité à un spearphishing", a poursuivi Risher, qui a cité une association d'anciens élèves comme étant l'un de ces détails personnels. Il a expliqué que cela pourrait être utilisé pour déverrouiller la fonctionnalité "question secrète" (qui demande parfois quelle était la mascotte de votre école ou le nom de votre premier animal domestique) sur un autre site Web.

Le pire des cas

Chester Wisniewski, conseiller principal en sécurité chez Sophos, a déclaré que même si Evernote et d'autres sites Web récemment compromis avaient sécurisé leurs mots de passe avec des hachages cryptographiques et des données "aléatoires", tous les utilisateurs ne pourraient pas être protégés. Il a expliqué que si les utilisateurs choisissent des mots de passe faibles ou communs, "alors les criminels l'ont probablement."

Avec les informations limitées disponibles, les mots de passe les plus faciles peuvent toujours être récupérés. "Les criminels vont mettre de l'ordre dans les plus faciles et ne se soucieront peut-être pas du reste", a déclaré Wisniewski.

Pour certains méchants, il suffit de simplement accéder à des comptes de médias sociaux tels que Facebook ou Twitter. Certains l'utilisent comme une opportunité de gagner de l'argent en tentant de propager des infections par programmes malveillants. Des attaquants plus entreprenants peuvent essayer d’utiliser le mot de passe volé pour déverrouiller un compte de messagerie Web.

"Ils recherchent souvent le courrier de la banque de l'utilisateur; il existe souvent une fonction" J'ai oublié mon mot de passe "dans cette banque, qui repose uniquement sur l'accès au compte de messagerie", a déclaré Risher.

Dans le pire des cas, les attaquants pourraient ne pas être attaqués une fois qu'ils ont eu accès aux informations bancaires en ligne. "Beaucoup de ces types ne vont pas s’impliquer directement dans le vol d’identité, ils vont le vendre", a déclaré Wisniewski.

Il a ensuite expliqué que dans le cas des chevaux de Troie bancaires, les assaillants utiliseraient les 10% de comptes les plus importants - c'est-à-dire ceux qui disposaient des fonds les plus disponibles - et vendraient les 90% restants. Cela signifie que les informations utilisateur, une fois compromises, peuvent continuer à être utilisées et réutilisées jusqu'à ce que le propriétaire en reprenne le contrôle.

Protégez-vous

"La bonne nouvelle dans toutes les publications récentes est qu'aucune mesure d'identification personnelle n'a été prise", a déclaré Wisniewski, qui a souligné à plusieurs reprises que les entreprises concernées semblaient au moins avoir pris de bonnes mesures pour sécuriser les informations des utilisateurs.

Mais comme nous l'avons vu, cela ne suffit pas toujours. Les utilisateurs doivent tenir compte des avertissements de modification des mots de passe lorsque des services piratés le leur demandent. Ils doivent également s'efforcer de sélectionner des mots de passe forts et uniques pour chaque service en ligne, en utilisant éventuellement un gestionnaire de mots de passe pour faciliter la tâche.

Ce qu'il est important de comprendre, c'est que les informations des utilisateurs sont précieuses et peuvent néanmoins être utiles aux attaquants longtemps après que vous avez sécurisé un compte affecté. Internet offre de nombreuses façons de s'amuser et de travailler, mais il offre également autant de possibilités d'attaque.