La confidentialité des données exige une protection contre le credential stuffing

Jim Downey

Le 27 juin 2022, la Global Privacy Assembly (GPA), une association regroupant plus de 130 autorités de réglementation et organismes chargés de l’application des lois en matière de protection des données et de la vie privée, a publié les premières lignes directrices intergouvernementales sur le bourrage d’identifiants affirmant que le bourrage d’identifiants présente un risque pour les données personnelles à l’échelle mondiale et que les lois sur la protection des données imposent aux organisations de s’en prémunir.

F5 est fière d’avoir participé à l’élaboration de ces lignes directrices et remercie la GPA pour cette reconnaissance. F5 a depuis longtemps pris la mesure de la menace que représente le bourrage d’identifiants. C’est Sumit Agarwal, de F5, qui a inventé le terme « bourrage d’identifiants » alors qu’il occupait le poste de secrétaire adjoint délégué à la Défense au Pentagone. Cette prise de conscience a conduit à la création, en 2011, de Shape Security (qui fait désormais partie de F5), fournisseur de premier plan de solutions de gestion des bots. Aujourd’hui, F5 continue de protéger les plus grandes banques, enseignes de commerce en ligne, compagnies aériennes, entreprises du secteur de l’hôtellerie et plateformes de réseaux sociaux au monde contre le bourrage d’identifiants et les menaces associées.

Les nouvelles lignes directrices, publiées par l’International Enforcement Cooperation Working Group (IEWG), un groupe de travail permanent de la GPA, décrivent la manière dont le bourrage d’identifiants est mis en œuvre, expliquent les mécanismes économiques qui incitent les attaquants à y recourir massivement, soulignent pourquoi il s’agit d’une préoccupation mondiale qui doit être prise en compte dans la législation sur la protection des données, et présentent plusieurs méthodes permettant d’atténuer ce type d’attaque.

Les lignes directrices de la GPA s’appuient sur plusieurs avertissements récemment émis par des organismes publics. Le 5 janvier 2022, le bureau de la procureure générale de l’État de New York a publié un guide à l’intention des entreprises sur l’essor fulgurant du bourrage d’identifiants et sur la nécessité pour les entreprises de prendre des mesures préventives. Le 15 septembre 2020, la Securities and Exchange Commission a publié une alerte sur les risques concernant la forte augmentation des attaques par bourrage d’identifiants visant les conseillers en investissement, courtiers et négociants enregistrés auprès de la SEC. Le 10 septembre 2020, le Federal Bureau of Investigation des États-Unis a publié une notification destinée au secteur privé mettant en garde contre une vague d’attaques par bourrage d’identifiants visant des établissements financiers américains, qui ont touché plus de 50 000 comptes et coûtent aux entreprises en moyenne 6 millions de dollars par an rien qu’en frais de notification et de remédiation. Ces incidents continuent d’avoir des répercussions sur les responsables de la protection des données, comme en témoigne un récent article de CPO faisant état d’une attaque massive par bourrage d’identifiants contre General Motors.

Le bourrage d’identifiants est une forme de cybercriminalité qui consiste à tester des identifiants volés sur des sites web afin de prendre le contrôle de comptes. Les cybercriminels mènent ces attaques à très grande échelle à l’aide d’outils automatisés appelés bots. Cette forme de cybercriminalité est extrêmement efficace et offre un retour sur investissement élevé, car : 1) les identifiants volés sont très facilement accessibles, 2) jusqu’à 60 % des personnes réutilisent leurs mots de passe sur plusieurs comptes (selon le FBI) et 3) de nombreuses organisations s’appuient sur des méthodes de protection inefficaces, telles que les CAPTCHA et les listes de blocage d’adresses IP.

Le nombre d’identifiants volés est vertigineux. Rien qu’en 2020, 1,86 milliard d’identifiants ont été dérobés, selon le rapport F5 Labs 2021 sur le credential stuffingt. Les lignes directrices de la GPA soulignent que des violations de données massives, comme celle subie par Yahoo en 2013, ont exposé des milliards d’identifiants. Les attaquants peuvent exploiter ces identifiants volés pendant des années avant que les violations ne soient rendues publiques.

« ...Des études menées par le secteur privé ont recensé 55 milliards d’attaques par bourrage d’identifiants dans l’industrie du jeu vidéo entre novembre 2017 et mars 2019, soit plus de 3 milliards d’attaques par mois et plus de 107 millions par jour. D’autres études ont recensé 193 milliards d’attaques par bourrage d’identifiants dans le monde en 2020, soit plus de 16 milliards d’attaques par mois et plus de 500 millions par jour. »

Les lignes directrices de la GPA soulignent également que les victimes de ces atteintes à la vie privée peuvent subir des préjudices allant au-delà des pertes financières, notamment une atteinte à leur réputation due à la désinformation ou à la diffusion de fausses déclarations à leur sujet depuis leur compte compromis. Il est facile d’imaginer à quel point ces violations de la vie privée pourraient briser des vies.

Plus important encore, les lignes directrices concluent que les organisations devraient considérer les protections contre le bourrage d’identifiants comme l’une des mesures de sécurité « appropriées » exigées par les lois sur la protection des données, en citant des dispositions spécifiques du RGPD de l’Union européenne et de la règle Safeguards Rule de la Federal Trade Commission des États-Unis.

« Compte tenu de la menace manifeste que les attaques par bourrage d’identifiants font peser sur les données à caractère personnel (en particulier pour les organisations disposant de comptes utilisateurs accessibles en ligne), ainsi que du traitement ou de l’accès non autorisé qui pourrait en résulter, la mise en œuvre de mesures visant à protéger les données à caractère personnel contre ces attaques sera généralement exigée, au moins implicitement, par les législations relatives à la protection des données et à la vie privée. »

Les lignes directrices de la GPA recommandent aux organisations d’envisager plusieurs mesures d’atténuation pour se protéger contre le bourrage d’identifiants :

• Le paiement en tant qu’invité, qui évite toute utilisation d’identifiants
• Des politiques de mots de passe robustes pour minimiser le risque de réutilisation
• Des alternatives aux mots de passe, telles que l’authentification unique (SSO)
• Authentification multifacteur (MFA)
• Mots de passe secondaires et codes PIN
• Empreinte numérique de l’appareil
• Noms d’utilisateur imprévisibles
• Identifier les mots de passe compromis
• Limitation du débit
• Page et processus de connexion (connexion en plusieurs étapes)
• Surveillance/détection des comptes
• Vérifications supplémentaires pour les réseaux d’anonymisation (tels que TOR)
• CAPTCHA
• WAF
• Listes de blocage et d’autorisation d’adresses IP
• Plans de réponse aux incidents et notifications aux utilisateurs

Il s’agit assurément de techniques valables qui ont contribué à atténuer les attaques par bourrage d’identifiants. Lorsque vous évaluez les approches les mieux adaptées à votre organisation, F5, qui innove dans ce domaine depuis de nombreuses années, vous recommande d’envisager des techniques permettant de neutraliser efficacement les bots en temps réel, sans nuire à l’expérience utilisateur ni nécessiter une refonte de l’application.

Si les mots de passe secondaires et les codes PIN, les noms d’utilisateur imprévisibles et les pages de connexion en plusieurs étapes renforcent la protection, ils rendent également le parcours utilisateur plus contraignant. Les entreprises qui souhaitent améliorer leur taux de conversion et réduire les abandons de panier doivent éviter de dresser des obstacles entre le client et l’achat. Le paiement en tant qu’invité peut également être utile, mais il empêche les entreprises de proposer une expérience personnalisée et ciblée. Bien qu’efficace, l’authentification multifacteur (MFA) rend elle aussi le parcours utilisateur plus contraignant et est devenue une cible privilégiée des cybercriminels.

De même, les CAPTCHA ajoutent des contraintes et offrent une protection moins efficace qu’on ne le pense généralement. Les services de résolution de CAPTCHA, qui utilisent l’apprentissage automatique et des fermes à clics, permettent aux robots de contourner les CAPTCHA à moindre coût. (Découvrez les aventures de Dan Woods dans « Récits d’un résolveur humain de CAPTCHA ».)

Les organisations qui ont travaillé avec F5 ont constaté que les listes de blocage d’adresses IP et les règles WAF statiques sont trop difficiles à maintenir. Les services proxy permettent aux bots d’utiliser des millions d’adresses IP résidentielles valides. Parallèlement, les bots s’adaptent en quelques heures chaque fois qu’ils sont bloqués. De telles approches contraignent les équipes de sécurité à jouer sans cesse au chat et à la souris, sans espoir de gagner.

De même, la surveillance et la détection des activités sur les comptes, les plans de réponse aux incidents et les notifications aux utilisateurs sont autant d’éléments importants qui doivent faire partie d’un programme de gestion des bots. Toutefois, ces mesures de protection n’interviennent qu’après coup. Heureusement, il existe des techniques permettant d’empêcher en amont les cybercriminels de prendre le contrôle des comptes.

F5 travaille avec des organisations déterminées à se protéger et à protéger leurs clients contre les abus frauduleux résultant du credential stuffing, tout en proposant des expériences numériques de qualité qui séduisent les clients et leur permettent de se démarquer sur le marché concurrentiel actuel. F5 a su fidéliser ses clients en assurant une protection contre les bots avec la meilleure efficacité disponible, sans imposer de contraintes aux utilisateurs. Cette technologie s’appuie sur des années de recherche et développement consacrées aux signaux JavaScript et natifs des appareils mobiles, qui couvrent les environnements des appareils et les caractéristiques comportementales des bots. Outre la détection en temps réel fondée sur ces signaux, F5 Distributed Cloud Bot Defense comprend un service d’analyse basé sur le machine learning qui détecte rapidement les adaptations des bots et y répond. Pour garantir une efficacité à long terme, le code de collecte des signaux fait l’objet d’une technique d’obfuscation avancée qui empêche la rétro-ingénierie et la falsification des signaux.

F5 estime que la cybersécurité doit être centrée sur l’humain, et les attaques par bourrage d’identifiants — qui escroquent les organisations et ont des conséquences dévastatrices pour les particuliers — représentent précisément le type de problème que nous nous engageons à résoudre. Comme le souligne Dan Woods, responsable mondial du renseignement chez F5, dans Fast Company, ces attaques n’ont jusqu’à présent pas reçu suffisamment d’attention. Heureusement, la GPA et plusieurs autorités chargées de la protection de la vie privée mettent en lumière les risques qu’elles font peser sur la vie privée des particuliers.

« L’attaque contre Colonial a mis en évidence un décalage manifeste entre la perception du public et le discours médiatique sur la cybersécurité. Causer un léger désagrément à des millions de personnes : les gros titres de la presse internationale. Ruiner des milliers de familles en leur volant toutes leurs économies dans le cadre d’escroqueries distinctes : silence radio. »

À l’ère du numérique, où une grande partie de notre vie est stockée en ligne sous forme de données, nous comptons sur les organisations pour prendre la confidentialité des données très au sérieux, une nécessité que viennent renforcer les lois de plus en plus strictes adoptées par les gouvernements du monde entier en matière de protection de la vie privée. Les réglementations sur la confidentialité des données, telles que le RGPD, exigent des organisations qu’elles prennent toutes les mesures appropriées pour protéger la vie privée. Compte tenu de ce que nous savons désormais sur le bourrage d’identifiants, ces lignes directrices de la GPA indiquent clairement que la protection contre cette pratique doit faire partie des mesures appropriées mises en œuvre par toute organisation.

Pour en savoir plus sur le retour sur investissement de la protection contre les bots, consultez le rapport Total Economic Impact de Forrester. Pour en savoir plus et planifier un entretien avec un expert F5 en matière de bots, rendez-vous sur f5.com/bot-defense.

À propos de l’auteur

Jim Downey

Autres articles de Jim Downey