Quantifier la menace liée à l’identité : un cinquième des demandes d’authentification sont malveillantes

Selon une étude de F5 Labs, 19,4 % des requêtes d’authentification seraient liées à des attaques par bourrage d’identifiants ;

Les mesures d’atténuation réduisent la prévalence de plus des deux tiers, mais accroissent la sophistication des attaques ultérieures ;

75 % des identifiants volés proviennent de sources inconnues.

SEATTLE – Les identités numériques sont devenues un enjeu majeur de la cybersécurité : selon une nouvelle étude de F5 Labs, un cinquième des demandes d’authentification provient de systèmes automatisés malveillants.

Le Rapport 2023 sur les menaces liées à l’identité : les vulnérabilités impossibles à corriger a analysé 320 milliards de transactions de données effectuées dans les systèmes de 159 organisations entre mars 2022 et avril 2023.

En l’absence de mesures d’atténuation, le taux moyen d’automatisation — un indicateur fort de bourrage d’identifiants — s’élevait à 19,4 %. Il a diminué de plus des deux tiers pour atteindre 6 % lorsque le trafic malveillant a été atténué de manière proactive.

Les attaques par bourrage d’identifiants consistent, pour des acteurs malveillants, à exploiter des noms d’utilisateur et des mots de passe volés sur un système afin d’en compromettre d’autres. Les outils automatisés jouent un rôle central dans ce type d’attaque, car ils permettent aux attaquants de multiplier au maximum leurs tentatives.

« Les identités numériques constituent depuis longtemps une cible prioritaire pour les attaquants, et la menace s’intensifie à mesure que les identités non humaines se généralisent », a déclaré Sander Vinberg, évangéliste en recherche sur les menaces chez F5 Labs. « Nos recherches montrent à quel point les identités numériques sont attaquées et combien il est important de mettre en place des mesures d’atténuation efficaces. Fait notable, nous avons observé une tendance constante : dès que des protections sont mises en place, le recours à l’automatisation malveillante diminue immédiatement pour atteindre un niveau inférieur, les attaquants ayant tendance à abandonner pour rechercher des cibles plus faciles. »

Atténuation : avant et après

Une partie essentielle de l’étude a porté sur l’impact des mesures d’atténuation sur les attaques par bourrage d’identifiants. Celles-ci avaient tendance à modifier le comportement des attaquants et à entraîner une diminution du recours à l’automatisation malveillante.

F5 Labs a constaté qu’en l’absence de mesures d’atténuation, les attaques ciblaient davantage les terminaux mobiles que les interfaces web. Après la mise en place de ces mesures, les attaques visant les terminaux mobiles ont davantage diminué, et une plus grande part des attaques ultérieures est passée par les interfaces web.

Les mesures d’atténuation ont également eu une incidence sur le degré de sophistication des attaques.

Sur les points de terminaison d’authentification non protégés, 64,5 % du trafic malveillant était constitué d’attaques qualifiées de « basiques », c’est-à-dire ne tentant ni d’imiter le comportement humain ni de contourner les dispositifs de protection contre les bots. La part de ces attaques a nettement diminué pour atteindre 44 % après la mise en place de mesures d’atténuation.

En revanche, les attaques « intermédiaires » — qui tentent dans une certaine mesure de contourner les solutions anti-bots — sont passées de 12 % à 27 % après le déploiement des mesures d’atténuation. Les attaques avancées, qui utilisent des outils capables d’imiter fidèlement la navigation d’un utilisateur humain (notamment les mouvements de la souris, les frappes au clavier et les dimensions de l’écran), sont passées de 20 % à 23 %.

« Notre analyse montre que de nombreux attaquants passent tout simplement à une autre cible lorsque des protections sont mises en place », a déclaré Vinberg. « Les attaquants qui continuent de cibler un système malgré les mesures d’atténuation déployées sont manifestement plus déterminés et plus sophistiqués : ils utilisent des outils qui leur permettent de reproduire fidèlement le comportement humain ou redoublent d’efforts pour dissimuler leurs activités.

« Par exemple, nous avons observé une attaque qui simulait 513 000 interactions utilisateur uniques sur 516 000 requêtes, en ne réutilisant des caractéristiques identifiables que dans moins de 1 % des cas. Face aux attaques les plus sophistiquées, une observation manuelle est parfois nécessaire pour détecter les comportements malveillants et créer une nouvelle signature. »

Les défis s’accumulent pour les défenseurs

F5 Labs a également examiné la chaîne d’approvisionnement des identifiants compromis. Fait préoccupant, les équipes de défense semblent avoir une visibilité bien moindre qu’elles ne le pensaient. Jusqu’à 75 % des identifiants utilisés lors d’attaques n’avaient jamais été signalés auparavant comme compromis.

En outre, les équipes de défense doivent faire face à des menaces ciblant les identités qui sont conçues pour contourner les mesures d’atténuation. Par exemple, les organisations peuvent chercher à détecter les attaques par bourrage d’identifiants en repérant un taux de réussite anormalement faible des demandes d’authentification. L’étude a révélé que les attaquants se sont adaptés en utilisant des comptes « canaris ». Ceux-ci peuvent être sollicités en continu afin d’augmenter artificiellement le taux de réussite global. Dans un cas, une campagne de bourrage d’identifiants s’est connectée 37 millions de fois au même compte canari en une seule semaine à cette fin.

Concernant les attaques par hameçonnage, autre axe majeur de l’analyse de F5 Labs, on constate là encore une nette intensification des efforts visant à contourner les contre-mesures. En particulier, le recours accru à l’authentification multifacteur favorise l’essor de l’hameçonnage par proxy inverse, qui consiste pour les attaquants à créer de fausses pages de connexion incitant les utilisateurs à saisir leurs identifiants.

En outre, les attaquants recourent de plus en plus à des fonctionnalités permettant d’échapper à la détection, telles qu’AntiRed. Cet outil JavaScript est conçu pour contourner les systèmes d’analyse anti-hameçonnage intégrés aux navigateurs, comme Google Safe Browsing (qui affiche un message d’alerte rouge lorsqu’un utilisateur accède à un site potentiellement dangereux).

De nouvelles menaces à l’horizon

Dans un contexte d’environnements en constante évolution, F5 Labs a également observé l’émergence d’une nouvelle génération de menaces.

À titre d’exemple, en août 2022, une annonce a été repérée sur le Dark Web. Elle faisait la promotion d’un système d’hameçonnage vocal utilisant l’intelligence artificielle pour automatiser les appels d’hameçonnage. Les progrès constants de l’IA et la baisse de ses coûts laissent présager que de telles méthodes deviendront de plus en plus courantes et efficaces au fil du temps.

« À l’avenir, les fournisseurs d’identité devraient recourir à une solution anti-bot afin de contrer les automatisations malveillantes telles que le bourrage d’identifiants. Même des solutions anti-bot simples peuvent neutraliser la majeure partie des tentatives de bourrage d’identifiants peu sophistiquées », a ajouté Vinberg.

« Les organisations peuvent renforcer davantage leurs défenses en recourant à des solutions d’authentification multifacteur (MFA) fondées sur la cryptographie, telles que celles reposant sur les protocoles WebAuthn ou FIDO2. En définitive, il n’existe pas de solution miracle pour lutter contre les attaques fondées sur l’identité. Les équipes de défense doivent surveiller et détecter les attaques, quantifier le taux d’erreur de leur détection et adapter leur approche en conséquence. Plus nous étudions ces attaques et leur nature en constante évolution, mieux nous pouvons gérer le risque lié aux vulnérabilités inhérentes à tout système auquel les utilisateurs doivent prouver leur identité pour accéder. »

À propos de F5

F5 est une entreprise spécialisée dans les services applicatifs multicloud et la sécurité, qui s’engage à donner vie à un monde numérique meilleur. F5 collabore avec les organisations les plus grandes et les plus avancées au monde afin de sécuriser et d’optimiser chaque application et chaque API, où qu’elles se trouvent — sur site, dans le cloud ou en périphérie. F5 permet aux organisations d’offrir à leurs clients des expériences numériques exceptionnelles et sécurisées, tout en gardant constamment une longueur d’avance sur les menaces. Pour plus d’informations, rendez-vous sur f5.com. (NASDAQ : FFIV)

Vous pouvez également suivre @F5 sur Twitter ou nous retrouver sur LinkedIn et Facebook pour en savoir plus sur F5, ses partenaires et ses technologies. F5 est une marque commerciale, une marque de service ou un nom commercial de F5, Inc., aux États-Unis et dans d’autres pays. Tous les autres noms de produits et de sociétés mentionnés dans le présent document peuvent être des marques commerciales appartenant à leurs détenteurs respectifs.

###

Le présent communiqué de presse peut contenir des déclarations prospectives relatives à des événements futurs ou à des performances financières futures, qui comportent des risques et des incertitudes. Ces déclarations peuvent être identifiées par l’emploi de termes tels que « peut », « va », « devrait », « prévoit », « planifie », « anticipe », « estime », « évalue », « prédit », « potentiel » ou « continuer », ainsi que par leur forme négative ou par des termes comparables. Ces déclarations ne sont que des prévisions et les résultats réels pourraient différer sensiblement de ceux qui y sont anticipés en raison de plusieurs facteurs, notamment ceux mentionnés dans les documents déposés par la société auprès de la SEC.