Qu’est-ce que la fraude par prise de contrôle de compte (ATO) ?

La prise de contrôle de compte (ATO) est l’attaque la plus répandue et la plus coûteuse visant les établissements financiers, les sites de commerce électronique et d’autres services numériques en ligne. À l’aide de bots automatisés et d’autres techniques de cybercriminalité, les criminels utilisent des identifiants volés pour accéder aux comptes des utilisateurs et en prendre le contrôle afin d’en tirer un profit financier ou de commettre une fraude. Les conséquences de la fraude par prise de contrôle de compte sont bien réelles : selon l’étude Javelin 2022 sur la fraude à l’identité, 22 % des adultes américains ont été victimes d’une prise de contrôle de compte.

Comment ça marche : les techniques de fraude par prise de contrôle de compte

La fraude par prise de contrôle de compte est l’aboutissement d’une série d’activités cybercriminelles, qui commencent généralement par le vol ou la compromission d’identifiants, lesquels donnent lieu à des attaques par bourrage d’identifiants, pouvant entraîner la prise de contrôle des comptes en ligne d’un client. Une fois aux commandes, le fraudeur peut vider le compte de ses fonds, monétiser la valeur qui y est stockée et utiliser le compte pour commettre d’autres fraudes.

La forme la plus élémentaire de bourrage d’identifiants repose sur des attaques par force brute pilotées par des bots, qui soumettent des combinaisons aléatoires de caractères aux formulaires de connexion jusqu’à ce que les attaquants trouvent les identifiants correspondant à un compte.

Comment les identifiants sont-ils volés ?

Les attaques de credential stuffing plus sophistiquées commencent par l’utilisation de paires d’identifiants et de mots de passe valides qui ont été volées ou compromises lors de violations de données. Les identifiants volés peuvent être facilement achetés sur les places de marché du dark web (selon Cyber Security Hub, 22 milliards d’enregistrements de données ont été exposés rien qu’en 2022).

Les identifiants peuvent également être dérobés au moyen de diverses cyberattaques et autres techniques de cybercriminalité, notamment :

• Attaques par hameçonnage, une forme d’ingénierie sociale dans laquelle des cybercriminels utilisent des e-mails, des SMS ou des messages sur les réseaux sociaux pour inciter leurs victimes à divulguer des informations privées, telles que leurs identifiants de connexion, leurs coordonnées bancaires, leur numéro de sécurité sociale ou d’autres données sensibles.
• Enregistrement des frappes, Magecart, skimming et autres formes de logiciels malveillants côté client, qui permettent à des acteurs malveillants de dérober des identifiants en injectant des scripts malveillants dans des formulaires de paiement en ligne. Lorsque la victime saisit ses identifiants et les informations de sa carte bancaire, le script transmet ces données à l’attaquant, qui peut les utiliser à des fins frauduleuses ou les vendre à d’autres criminels.
• Attaques de l’homme du milieu (MitM), lors desquelles les attaquants interceptent des messages ou des transactions de données en s’interposant comme mandataires entre deux parties légitimes qui échangent des données. L’attaquant peut ainsi « écouter » les échanges d’informations et de données entre les deux parties afin de récupérer des identifiants de connexion ou d’autres informations personnelles.

Une fois que les cybercriminels ont accumulé un stock d’identifiants valides, ils peuvent lancer une attaque par bourrage d’identifiants, souvent à très grande échelle. Comme environ deux tiers des consommateurs réutilisent les mêmes noms d’utilisateur et mots de passe sur plusieurs sites web, ces identifiants recyclés sont facilement exploités par les cybercriminels et leurs armées de robots automatisés : une part importante des identifiants compromis permettra également d’accéder à des comptes sur d’autres sites. Une fois qu’ils ont pris le contrôle des comptes, les attaquants peuvent modifier les identifiants afin d’en bloquer l’accès au titulaire légitime, vider les actifs et utiliser les comptes pour commettre d’autres actes frauduleux.

Conséquences de la fraude par prise de contrôle de compte

Les pertes liées à la fraude numérique résultant d’attaques telles que la prise de contrôle de compte devraient dépasser 343 milliards de dollars à l’échelle mondiale entre 2023 et 2027, selon des informations publiées par American Banker.

La prise de contrôle de comptes a également des conséquences qui vont au-delà de l’aspect financier. L’image de marque et la réputation d’une organisation peuvent aussi en pâtir, entraînant une perte d’activité et une publicité négative liée à une faiblesse perçue en matière de sécurité. L’image de marque peut être durablement ternie, et il peut falloir des années pour rétablir une réputation positive.

Les organisations peuvent également perdre la confiance et la fidélité de leurs clients, ce qui peut entraîner la rupture de relations commerciales. Il est compréhensible que les clients soient mécontents si les mesures de sécurité insuffisantes d’une entreprise conduisent à la prise de contrôle de leur compte et à des activités frauduleuses coûteuses.

Les organisations peuvent également s’exposer à des sanctions réglementaires et à des conséquences juridiques si elles ne protègent pas les données des consommateurs. Des législations et des normes telles que le règlement général sur la protection des données (RGPD) dans l’UE, le California Consumer Privacy Act (CCPA) et la norme de sécurité des données de l’industrie des cartes de paiement (PCI-DSS) visent à garantir la confidentialité des données des consommateurs et prévoient de lourdes sanctions financières en cas de violation de données. Celles-ci incluent les attaques par prise de contrôle de compte (ATO), qui exposent des données privées à des bots.

Détection de la fraude par prise de contrôle de compte

Il est important de surveiller les comptes et les activités des utilisateurs afin de détecter les signes d’une prise de contrôle de compte.

• Surveillez les changements inattendus dans l’activité du compte. Il peut s’agir de transactions nouvelles ou non autorisées, de retraits importants, de pics de trafic aléatoires et sporadiques, ou encore de demandes de modification du mot de passe, de l’adresse ou du bénéficiaire d’un paiement. Ces activités inhabituelles peuvent indiquer que le compte fait l’objet d’une attaque. Dans ce cas, vérifiez si certaines informations de l’utilisateur, telles que son mot de passe ou son numéro de téléphone, ont également été modifiées, ce qui pourrait indiquer que le compte a été piraté.
• Surveillez les tentatives de connexion non reconnues. Une série de tentatives de connexion infructueuses peut indiquer qu’un acteur malveillant essaie de compromettre un compte à l’aide de techniques de bourrage d’identifiants. Soyez particulièrement vigilant si les tentatives de connexion proviennent d’un lieu inhabituel ou ont lieu à une heure où le compte est généralement inactif.
• Soyez attentif aux appareils nouveaux ou non reconnus qui accèdent à un compte. L’activité provenant d’appareils nouveaux ou inconnus peut indiquer qu’un compte a été compromis ou qu’un fraudeur tente de s’y connecter à l’aide d’identifiants volés. De même, la connexion de plusieurs appareils à un même compte peut également signaler que celui-ci est la cible de cybercriminels.
• E-mails ou SMS suspects. Une augmentation du nombre d’e-mails d’hameçonnage et autres messages électroniques peut indiquer que les utilisateurs sont pris pour cible par des escrocs. Rappelez aux clients de ne jamais cliquer sur des pièces jointes ou des liens actifs dans un message numérique provenant d’un expéditeur inconnu, et de ne jamais communiquer leurs noms d’utilisateur, mots de passe ou informations personnelles ou financières à qui que ce soit par téléphone ou sur Internet. Les entreprises légitimes ne demanderont jamais d’informations relatives à un compte par e-mail ou par SMS.

Prévenir la fraude par prise de contrôle de compte

Une approche proactive de la prévention de la prise de contrôle de comptes repose sur plusieurs niveaux de protection et différentes stratégies. Celles-ci comprennent l’application de méthodologies fondées sur les bonnes pratiques, la sensibilisation des utilisateurs, la surveillance en temps réel de l’infrastructure et des mécanismes d’authentification robustes.

Formation et sensibilisation des utilisateurs

L’un des moyens les plus efficaces de prévenir la prise de contrôle de comptes consiste à mettre en place des programmes de sensibilisation qui apprennent aux utilisateurs à identifier les risques et à s’en prémunir. Les attaques par prise de contrôle de compte (ATO) commencent souvent par de l’hameçonnage, lorsqu’un acteur malveillant tente d’inciter les utilisateurs à divulguer leurs identifiants de connexion ou à cliquer sur des liens malveillants. Les e-mails et SMS d’hameçonnage peuvent être très convaincants, en particulier lorsqu’ils contiennent des informations personnelles que les cybercriminels peuvent recueillir sur les réseaux sociaux. Veillez également à ce que les utilisateurs comprennent l’importance d’une bonne hygiène en matière de mots de passe et imposez l’utilisation de politiques strictes en la matière.

Mesures d’authentification renforcée

L’authentification forte exige que les utilisateurs présentent au moins deux facteurs de vérification, en plus d’un nom d’utilisateur et d’un mot de passe, lors d’une tentative de connexion. Il existe plusieurs approches en matière d’authentification forte.

• L’authentification à deux facteurs (2FA) est une méthode de sécurité de gestion des identités et des accès qui exige deux facteurs de vérification pour confirmer l’identité d’une personne et lui permettre d’accéder à des ressources et à des données. En pratique, cela consiste souvent à saisir sur un appareil connu, tel qu’un smartphone ou le navigateur d’un ordinateur personnel, un code à usage unique reçu par e-mail ou SMS.
• L’authentification multifacteur (MFA)est similaire à la 2FA, à ceci près qu’au moins trois facteurs de vérification doivent être fournis pour réussir à se connecter. Dans la plupart des cas, cela implique de recevoir un code à usage unique sur un appareil connu et de fournir une donnée biométrique, telle qu’une empreinte digitale, un scan rétinien ou une reconnaissance vocale. Il convient de noter que, même si la 2FA et la MFA restent des outils précieux pour renforcer la sécurité des comptes en ligne, elles ne suffisent plus comme ultime rempart contre les attaques par prise de contrôle de compte (ATO), car elles peuvent facilement être contournées par des cybercriminels et nuire à l’expérience utilisateur.
• L’authentification basée sur les risques est une méthode de gestion des accès qui adapte les exigences du processus d’authentification au niveau de risque associé à la tentative de connexion. Par exemple, une connexion visant simplement à consulter le solde d’un compte nécessiterait un processus d’authentification moins contraignant qu’une connexion visant à modifier un mot de passe ou à transférer des fonds vers un nouveau compte. En résumé, plus le niveau de risque augmente, plus le processus d’authentification devient strict et exige des facteurs et des contrôles supplémentaires.

Surveillance et audit des comptes

Les particuliers comme les entreprises doivent régulièrement surveiller et contrôler leurs comptes afin de détecter toute activité suspecte. Pour les particuliers, cela implique de se connecter régulièrement à leurs comptes financiers et à d’autres comptes ayant une valeur monétaire (notamment les programmes de fidélité et les cartes-cadeaux) afin de surveiller les soldes et l’activité des comptes.

Les entreprises et les organisations peuvent recourir à diverses technologies pour automatiser la surveillance et l’audit continus des comptes, notamment à des systèmes de suivi des comptes qui utilisent l’apprentissage automatique et la détection basée sur l’IA afin de contribuer à prévenir la fraude en repérant les activités anormales qui ne correspondent pas au comportement habituel de l’utilisateur.

Pare-feu d’application web (WAF)

Un WAF protège les applications web en filtrant, en surveillant et en bloquant tout trafic HTTP/S malveillant à destination de l’application web, et empêche toute donnée non autorisée de quitter l’application. Pour ce faire, il applique un ensemble de politiques permettant de déterminer quel trafic est malveillant et quel trafic est sûr. Un WAF agit comme un intermédiaire qui protège le serveur de l’application web contre les clients potentiellement malveillants.

Bien qu’elles ne soient pas spécifiquement conçues pour détecter les activités de prise de contrôle de compte (ATO), les politiques de WAF peuvent être configurées pour aider à identifier et à bloquer ce type d’attaques. Les WAF peuvent également contribuer à détecter les activités de bots malveillants, qui précèdent souvent les attaques par bourrage d’identifiants reposant sur la force brute.

Ajouter la détection et l’atténuation des bots aux réseaux

Les armées de bots permettent aux cybercriminels de mener des attaques à grande échelle, de contourner les contrôles d’authentification multifacteur (MFA) et de commettre des fraudes. Grâce à l’automatisation, les bots peuvent être déployés massivement pour accomplir la tâche qui leur a été assignée, qu’il s’agisse de bourrage d’identifiants ou d’attaques par hameçonnage. Les solutions de détection des bots offrent une visibilité sur les activités malveillantes telles que la création de faux comptes, l’accaparement de stocks, l’extraction de données et le vol numérique d’identifiants. Elles peuvent également émettre des alertes en cas d’attaques côté client, telles que le détournement de formulaires, le vol numérique de données, Magecart et d’autres vulnérabilités JavaScript exploitables dans les navigateurs.

Réagir à la fraude par prise de contrôle de compte

Compte tenu de la multitude d’identifiants volés et compromis facilement accessibles sur le dark web, il est de plus en plus probable que les organisations subissent tôt ou tard une cyberattaque. Il est impératif que les organisations préparent en amont des réponses et des processus robustes afin de faire face aux répercussions d’une cyberattaque, tant sur l’institution que sur ses clients.

Plan de réponse aux incidents

Un plan de réponse aux incidents définit les mesures concrètes, les ressources disponibles et les stratégies de communication qui seront mises en œuvre dès qu’un événement menaçant est détecté. Il doit préciser les protocoles à suivre pour répondre à l’événement et désigner une équipe d’intervention formée à sa mise en œuvre opérationnelle.

Notification et assistance aux clients

Il est essentiel que l’équipe d’intervention en cas d’incident informe directement les clients concernés et leur explique ce qui s’est passé, leur indique les mesures prises pour les protéger et les invite à modifier le mot de passe compromis s’ils l’utilisent pour d’autres comptes. Il est important de rester en contact avec les clients concernés afin de rétablir la confiance.

Enquête et remédiation

Après la détection d’une attaque, il est essentiel d’évaluer et de circonscrire l’incident, ainsi que d’en déterminer la nature et l’ampleur et d’identifier les systèmes touchés. Une fois le point d’accès identifié, l’organisation doit supprimer l’accès non autorisé de l’attaquant aux comptes concernés et sécuriser les comptes compromis afin qu’ils ne puissent plus être utilisés à des fins malveillantes. Dans le cadre de l’analyse menée après le rétablissement à la suite de la fraude, déterminez comment empêcher qu’une telle attaque ne se reproduise.

Communication et transparence

Il est important de communiquer en toute transparence sur les failles de sécurité et les attaques, car le fait de retenir des informations peut être perçu par les autorités de réglementation, les médias ou les consommateurs comme une dissimulation, et peut considérablement aggraver les conséquences financières de l’attaque.

Résumé

Aujourd’hui, toute organisation qui émet ou accepte des paiements numériques est une cible potentielle de prise de contrôle de compte (ATO), et la menace ne cesse de croître. Les commerçants en ligne, les établissements financiers et les sociétés de services se retrouvent ainsi face à un paradoxe : En répondant à la préférence des clients pour des services et des applications en ligne plus pratiques, ils s’exposent à un risque accru de fraude et d’autres formes de cybercriminalité. Une fois un compte compromis, un fraudeur peut en détourner les fonds, voler des biens ou des services, ou accéder aux informations de paiement afin de les utiliser sur d’autres sites, ce qui entraîne la perte de confiance des clients et une baisse des revenus.

Les contrôles classiques d’authentification à deux facteurs (2FA) et multifacteur (MFA) ne suffisent plus à arrêter les cybercriminels qui lancent des attaques par prise de contrôle de compte (ATO) toujours plus sophistiquées. La prévention des ATO nécessite une approche de bout en bout de la sécurité et de la lutte contre la fraude, capable d’évaluer les intentions, de fluidifier les expériences numériques et de bloquer les ATO en détectant les schémas frauduleux et les transactions à risque avant qu’ils ne se produisent.

Comment F5 peut vous aider

Les solutions de sécurité et de prévention de la fraude de F5 offrent la protection contre la prise de contrôle de comptes la plus complète du secteur sur une plateforme unique. Grâce à des technologies sophistiquées, telles que la modélisation des renseignements sur les menaces et le machine learning, pour détecter les techniques des attaquants, Distributed Cloud Bot Defense déploie en temps réel les contre-mesures appropriées afin de lutter avec une efficacité maximale contre la fraude pilotée par des bots et la prise de contrôle de comptes. Distributed Cloud Authentication Intelligence reconnaît les utilisateurs légitimes tout au long du parcours client, tandis que Distributed Cloud Client-Side Defense fournit une visibilité en temps réel sur les attaques d’écrémage numérique côté client.

Associée à l’élimination rapide de la fraude après connexion grâce à Distributed Cloud Account Protection, la plateforme de sécurité et de prévention de la fraude F5 Distributed Cloud offre une approche de bout en bout qui évalue les intentions, fluidifie les expériences numériques et bloque les tentatives de prise de contrôle de comptes qui, autrement, entraîneraient des fraudes, des pertes de revenus et une baisse de la fidélité des clients.