Mauvaise nouvelle : le monde est rempli de gens qui veulent vos mots de passe. Et ils les veulent pour une multitude de raisons, mais pour faire court, ce ne sont que pour de mauvaises raisons. Découvrons les types d’acteurs malveillants qui veulent vos mots de passe, pourquoi ils les veulent, comment ils les obtiennent, et comment limiter les dégâts si l’un de vos mots de passe tombe entre de mauvaises mains.

On peut les répartir ces acteurs en trois groupes principaux : états-nations, cybercriminels et collaborateurs malveillants. Leurs motivations varient considérablement, mais l’objectif reste le même : obtenir un accès à des données ou des systèmes sensibles.
<h4><strong>États-nations</strong></h4>
Il s’agit d’une façon polie (utilisée en informatique, en science politique ou par les diplomates) de désigner les gouvernements. Ils veulent obtenir des mots de passe pour accéder à des systèmes, des informations ou les deux. Et ils veulent obtenir ces accès pour pouvoir voler ces informations, s’incruster à long terme au sein de ces systèmes, une combinaison des deux, et dans de rares cas, détruire ces données ou ces systèmes. Ce dernier cas de figure peut avoir des conséquences dévastatrices, en particulier si ces données ou systèmes sont liés à des infrastructures vitales (pensez au réseau d’électricité).
<h4><strong>Cybercriminels</strong></h4>
Tout est dans le nom. Le « pourquoi » est limpide dans ce cas de figure. Il s’agit de criminels motivés par l’argent. Les mots de passe offrent deux voies pour en gagner : Ils peuvent être vendus (les identifiants de connexion valent en moyenne une dizaine de dollars pièce sur le dark web) ou être utilisés pour obtenir un accès à des comptes ou des systèmes afin de générer de l’argent de différentes façons, comme les rançongiciels, l’exfiltration de données ou l’extorsion, ou s’il s’agit d’un compte bancaire, et le vidant directement de ses fonds.
<h4><strong>Collaborateurs malveillants</strong></h4>
Malgré la tentation, on ne parle pas ici des collègues qui réchauffent du chou-fleur ou du poisson au micro-ondes en salle de pause. On parle plutôt des collègues qui cherchent à nuire à l’entreprise en exploitant l’accès à ses réseaux. Ils peuvent vouloir votre mot de passe pour effectuer des tâches malveillantes en votre nom, afin de vous faire passer pour la personne coupable et compliquer les investigations. Ou ils peuvent vouloir votre mot de passe parce que vous avez accès à d’autres parties du réseau de l’entreprise, par exemple à des données financières sensibles, ou à des systèmes de contrôle industriels capables d’entraîner des dégâts physiques.
<h3><strong>Comment les obtiennent-ils ?</strong></h3>
Ces acteurs malveillants utilisent parfois les mêmes méthodes pour tenter d’obtenir vos mots de passe, qu’ils utilisent des logiciels malveillants achetés en ligne ou qu’ils achètent directement vos identifiants piratés lors d’une attaque précédente auprès d’un vendeur sur le dark web. Mais il existe également des différences dans la façon dont ces acteurs malveillants s’y prennent pour obtenir vos mots de passe. Découvrons ces différences.

Les états-nations ont le plus d’expérience et de ressources (autrement dit de personnel et d’argent), et disposent donc de plus d’options. Ils développent souvent leurs propres logiciels malveillants en exploitant des vulnérabilités logicielles qui n’ont pas encore été corrigées, afin d’accéder à des appareils ou des réseaux pour en exfiltrer des mots de passe. Ils peuvent également cibler directement un individu via un e-mail d’harponnage pour l’inciter à fournir son mot de passe. Ou ils peuvent cibler un fournisseur de services en amont, comme un service dans le cloud, pour accéder à de nombreux comptes à la fois et aux identifiants associés.

Sans surprise, les cybercriminels ont une approche plus entrepreneuriale. Certains groupes se concentrent essentiellement sur le vol de mots de passe via des infostealers ou des e-mails d’hameçonnage pour ensuite les revendre sur le dark web (pour en savoir plus sur les infostealers, consultez notre billet de blog <a href="https://blog.lastpass.com/2023/07/infostealers-the-widespread-threat-from-information-stealing-malware/">ici</a>). D’autres exploitent des logiciels malveillants créés par d’autres groupes sous forme de kits d’hameçonnage ou d’infostealers, qu’ils vendent sous forme de service, comme un logiciel normal. Ces offres de logiciel-service (malware-as-a-service ou MaaS) sont conçues pour que des personnes sans expertise technique particulière puissent configurer et lancer des campagnes d’hameçonnage ou des logiciels malveillants. Elles sont dotées d’une interface utilisateur pratique qui simplifie la configuration des modes d’attaque.

Les collaborateurs malveillants ont un avantage sur les autres acteurs, puisqu’ils ont généralement déjà accès à vos bureaux et vos réseaux. Ils peuvent fouiller votre bureau à la recherche de mots de passe que vous avez notés par écrit, ou consulter les dossiers partagés de votre réseau pour voir si des mots de passe ont été stockés sur un site SharePoint ou un autre emplacement partagé. Ils peuvent également fouiller les dépôts de code à la recherche de mots de passe codés en dur, le tout pour obtenir un accès illicite ou pour entraîner des dégâts et nuire à leur employeur ou leurs collègues.
<h3><strong>Comment limiter les dégâts ?</strong></h3>
La réponse (ne) va (pas) vous surprendre : utilisez un gestionnaire de mots de passe ! Il vous suffit de mémoriser un seul mot de passe maître, vous pouvez créer et stocker des mots de passe complexes et uniques pour chacun de vos comptes, et si un mot de passe est piraté, c’est facile de le remplacer. LastPass offre également la surveillance gratuite des identifiants à tous ses clients. Si vous décidez d’activer la surveillance du dark web, notre service surveille en permanence une base de données d’identifiants piratés et vous alerte en cas de besoin pour que vous puissiez agir pour vous protéger. Utiliser des mots de passe uniques pour vos comptes limite également les dégâts en cas de piratage de vos identifiants, en limitant ce que le pirate peut en faire. De nos jours, il ne s’agit plus de savoir si vos identifiants seront exposés, mais quand, alors autant s’y préparer, et nous sommes là pour ça.

Qui veut vos mots de passe et pourquoi faire ?

Mauvaise nouvelle : le monde est rempli de gens qui veulent vos mots de passe. Et ils les veulent pour une multitude de raisons, mais pour faire court, ce ne sont que pour de mauvaises raisons. Découv[..]

Pour la plupart des gens, l’utilisation d’Internet d’une manière ou d’une autre est devenue aussi incontournable que conduire une voiture. Ces deux activités présentent des risques inhérents. Et selon la Cybersecurity and Infrastructure Security Agency des États-Unis, <a href="https://www.cisa.gov/be-cyber-smart/facts">un foyer sur trois</a> disposant d’un ordinateur est infecté par un logiciel malveillant. Et 65 % des Américains qui se connectent à Internet sont la cible d’au moins une escroquerie en ligne. Mais de la même manière que l’on peut apprendre la conduite défensive, l’on peut apprendre à identifier et éviter les cyberattaques pour se protéger, et protéger ses données, des acteurs malveillants.

Bien que de nombreuses cybermenaces peuvent être bloquées automatiquement par des services antivirus, des pare-feu ou d’autres mesures de protection, les cybermenaces les plus dangereuses exploitent souvent le facteur humain pour contourner ces défenses automatisées. Certaines attaques peuvent prendre la forme d’une interaction directe avec la victime (dans le cadre de ce qu’on appelle l’ingénierie sociale), tandis que d’autres tendent des pièges et attendant qu’un utilisateur peu méfiant morde à l’hameçon (il peut s’agir par exemple de fausses applications provenant de sources non officielles). Nous allons aborder les deux types de menaces et la manière de les éviter. Nous allons également aborder la réutilisation des mots de passe, les risques qu’elle présente et la manière d’éviter cette erreur.
<h3><strong>Ingénierie sociale </strong></h3>
L’ingénierie sociale est une expression utilisée pour décrire un vaste éventail d’activités malveillantes, mais dont l’approche de base reste la même : interagir directement avec la victime (par e-mail, par SMS, par téléphone ou d’autres moyens) afin de leur soustraire des informations sensibles ou de les inciter à interagir avec un site web conçu pour installer un logiciel malveillant sur leur ordinateur. Si toutes ces méthodes exploitent le facteur humain, elles sont nombreuses et les signaux d’alerte varient tout autant. Alors découvrons les principaux types d’ingénierie sociale.

<strong>Hameçonnage ou phishing</strong>

Il s’agit de la forme de cyberattaque la plus courante, avec environ <a href="https://www.splunk.com/en_us/blog/learn/phishing-scams-attacks.html#:~:text=3.4%20billion%20phishing%20emails%20are,compromised%20due%20to%20phishing%20attacks">3,4 milliards d’e-mails d’hameçonnage</a> envoyés chaque jour. Ces e-mails conçus pour ressembler aux messages d’expéditeurs légitimes exploitent différents types de tactiques ou d’approches ou « d’appâts », afin de tromper le destinataire et l’inciter à interagir avec le message. Ces appâts peuvent exploiter des événements récents, comme des jours fériés ou des catastrophes naturelles, pour attirer l’attention, ou ils peuvent prétendre provenir d’une entreprise vous prévenant que votre compte a été piraté, ou inclure une fausse « facture » pour un achat important, vous indiquant qu’il ne vous reste que peu de temps pour le contester. Ces courriels sont conçus pour exercer une pression psychologique sur le destinataire afin qu’il réponde, soit par intérêt, soit pour s’assurer qu’il n’est pas victime d’une escroquerie tierce.

<strong>Comment se protéger des attaques par hameçonnage</strong>

Jusqu’ici, les fautes de grammaire et d’orthographe étaient un moyen simple de détecter les e-mails d’hameçonnage. Toutefois, avec l’essor de ChatGPT et d’autres grands modèles de langage, les acteurs malveillants peuvent désormais rédiger des courriels aussi convaincants que grammaticaux, et qui sont donc beaucoup plus difficiles à détecter. Il convient donc d’aborder tous les e-mails qui ne proviennent pas d’expéditeurs de confiance avec prudence, et d’adhérer aux meilleures pratiques suivantes :
<ul>
 	<li>Vérifiez l’adresse d’expédition complète de tout e-mail qui vous demande de cliquer sur un lien ou d’appeler un centre de service clientèle. Par exemple, vous pouvez recevoir un e-mail d’une entreprise connue, mais en vérifiant l’adresse e-mail de l’expéditeur, vous apercevoir qu’il provient d’un autre domaine, comme dans l’exemple ci-dessous :</li>
 	<li>Ne cliquez jamais sur un lien dans un e-mail qui provient d’un expéditeur inconnu.</li>
 	<li>Dans le doute, contactez directement l’entreprise qui a prétendument envoyé le message, et utilisez des informations de contact disponibles sur le site web de l’entreprise pour confirmer que le message est légitime.</li>
 	<li>Laissez votre gestionnaire de mots de passe vous aider. Si votre gestionnaire de mots de passe est réglé pour préremplir les identifiants mais qu’il ne le fait pas sur le site que vous visitez, il peut s’agir d’un site d’hameçonnage.</li>
</ul>
<strong>Hameçonnage vocal ou vishing</strong>

Le vishing, contraction de « voice phishing », est l’équivalent vocal de l’hameçonnage. Un acteur malveillant appelle la victime en se faisant passer pour un représentant d’une entreprise connue, des forces de l’ordre ou d’une administration, afin de lui soustraire des informations sensibles, qu’il s’agisse d’un numéro de carte bancaire ou d’assuré social, d’un mot de passe ou encore d’informations financières.

<strong>Comment se protéger des attaques par hameçonnage vocal</strong>
<ul>
 	<li>Lorsque vous ne reconnaissez pas un numéro de téléphone, laissez l’appel aller à la messagerie.</li>
 	<li>Contactez directement l’entreprise dont se réclame l’appelant pour vérifier que l’appel est légitime. Appelez un numéro publié sur le site de l’entreprise ou de l’organisation, pas un numéro fourni par l’escroc potentiel.</li>
</ul>
<strong>Hameçonnage par SMS ou smishing</strong>

Le smishing est similaire au vishing et au phishing, sauf que l’acteur malveillant utilise cette fois-ci les SMS pour cibler les victimes. Certains SMS peuvent contenir des liens vers des sites malveillants, tandis que d’autres peuvent prétendre provenir d’une administration, d’un transporteur ou d’une entreprise connue. Ces messages peuvent vous avertir que votre compte a été piraté et vous demander de vous connecter (à un site d’hameçonnage) afin de récupérer vos identifiants.

Une autre technique répandue consiste à envoyer un SMS en se faisant passer pour un membre de la direction de l’employeur de la victime afin de lui demander d’acheter une carte cadeau en son nom. Le n+1 prétendra par exemple qu’il est coincé en réunion, qu’il ne peut pas le faire lui-même et qu’il vous demande donc votre aide. Cette tactique est conçue pour créer un sentiment d’urgence chez le destinataire en espérant qu’il agira sans mesurer le danger potentiel.

<strong>Comment éviter les tentatives d’hameçonnage par SMS</strong>
<ul>
 	<li>Ne répondez pas et ne cliquez jamais sur les liens dans les SMS non sollicités</li>
 	<li>Contactez l’expéditeur directement avant d’agir.</li>
 	<li>Supprimez et si possible signalez les SMS frauduleux auprès de votre opérateur et/ou à l’entreprise dont le message prétend provenir.</li>
</ul>
<h3><strong>Applications malveillantes </strong></h3>
Certains acteurs malveillants développent des applications qui ressemblent à celles de marques connues et réputées pour tenter de dérober des informations et/ou d’installer un logiciel malveillant sur l’ordinateur ou l’appareil mobile de l’utilisateur. Ces applications sont souvent en apparence identiques aux applications officielles et peuvent être difficiles à détecter. Toutefois, voici quelques mesures qui permettent d’éviter de tomber pour un de ces clones :
<ul>
 	<li>Utilisez uniquement les sites de téléchargement officiels, comme l’App Store d’Apple ou Google Play.</li>
 	<li>Vérifiez le développeur de l’application. Par exemple pour <strong>LastPass</strong>, le développeur est <strong>LogMeIn, Inc.</strong> sur l’App Store d’Apple et <strong>GoTo Technologies</strong> sur Google Play. Tout autre développeur ou éditeur serait le signe que l’application est probablement frauduleuse.</li>
 	<li>Consultez la description de l’application à la recherche de fautes d’orthographe et de grammaire.</li>
</ul>
<h3><strong>Réutilisation des mots de passe </strong></h3>
Selon le rapport LastPass <a href="https://www.lastpass.com/resources/ebook/psychology-of-passwords-2022">sur la psychologie des mots de passe de 2022</a>, près de 62 % des gens réutilisent un même mot de passe ou une variante, et parmi les gens qui ont été sensibilisés aux dangers de la réutilisation des mots de passe, ils ne sont que 31 % à avoir arrêté de les réutiliser, et que 25 % a avoir adopté un gestionnaire de mots de passe. Ce problème est particulièrement grave lorsque ces mots de passe sont piratés, car les acteurs malveillants les utilisent ensuite dans leurs attaques. Selon le rapport Verizon sur les failles de sécurité de 2023, <a href="https://www.verizon.com/business/resources/reports/dbir/">86 % des attaques contre les sites web ayant entraîné des fuites de données</a> exploitaient des identifiants piratés.

La meilleure chose que vous puissiez faire consiste à créer un mot de passe unique et complexe pour chaque compte, et vous pouvez exploiter un gestionnaire de mots de passe pour ce faire. Alors que le passage à l’authentification sans mot de passe commence à se démocratiser, il est également recommandé de choisir un gestionnaire de mots de passe capable de vous aider à adopter cette nouvelle technologie de façon transparente.

Dans un environnement saturé de cybermenaces, connaître les types d’attaques les plus courantes et ces quelques étapes simples pour les éviter peut vous aider à vous protéger, vous, vos proches et votre entreprise, contre les fuites de données et d’autres types de cyberattaques.

Reconnaître et éviter les cyberattaques courantes

Pour la plupart des gens, l’utilisation d’Internet d’une manière ou d’une autre est devenue aussi incontournable que conduire une voiture. Ces deux activités présentent des risques inhérents. Et selon[..]

<strong><em>LastPass Labs est la base de contenu de l’équipe TIME (Threat Intelligence, Mitigation, and Escalation) de LastPass. L’analyse approfondie des derniers développements en matière de sécurité, la veille technologique ainsi qu’un regard acéré sur les cybermenaces sont nos principaux objectifs. </em></strong>

La cybersécurité est une nécessité pour toutes les entreprises, des plus grandes multinationales aux start-ups individuelles. Et si certaines d’entre elles jouissent de gros budgets entièrement dédiés à la cybersécurité, d’autres doivent composer avec des ressources limitées et ainsi établir des priorités pour obtenir un maximum de résultats.  Outre la mise en place de contrôles stricts des e-mails avec la recherche et le blocage des messages malveillants ainsi que la sensibilisation et la formation des employés pour diminuer le risque d’attaques par ingénierie sociale, la gestion des vulnérabilités est un pilier central de tout programme de cybersécurité de base et génère un retour sur investissement immédiat. Les exploitations fructueuses de vulnérabilités font partie des premières causes de cyberincidents. En effet, dans son rapport <a href="https://www.mandiant.com/resources/blog/m-trends-2023">M-Trends 2023</a>, Mandiant indique que 36 % des investigations concernant des intrusions ont révélé l’exploitation d’une vulnérabilité.

La compréhension de l’infrastructure technologique en présence et la connaissance des appareils compris dans le réseau grâce à la gestion des actifs sont fondamentales dans plusieurs cadres de cybersécurité, notamment celui de l’Institut national américain des normes et de la technologie (National Institute of Standards and Technology, ou NIST). Connaître leur inventaire technologique permet aux entreprises de toutes tailles de savoir rapidement si elles sont en proie à de nouvelles vulnérabilités et d’opter pour la bonne stratégie de correction. On ne peut pas protéger de ce dont on ignore la présence. Il est extrêmement important d’identifier la présence de vulnérabilités au sein de son environnement et de les corriger au plus vite.  D’après le <a href="https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/">rapport d’information sur les vulnérabilités 2022</a> de Rapid7, plus de la moitié des vulnérabilités étudiées ont été exploitées dans les sept jours ayant suivi leur divulgation publique, soit 12 % de plus qu’en 2021 et 87 % de plus qu’en 2020.

Si la plupart des gens associent les vulnérabilités aux grands éditeurs de logiciels, la dépendance aux logiciels open source complexifie encore l’environnement de menaces de vulnérabilités. Selon une <a href="https://openuk.uk/wp-content/uploads/2021/10/openuk-state-of-open_final-version.pdf">étude d’OpenUK</a>, 90 % des entreprises utilisent des logiciels open source, ce qui augmente les risques pour la sécurité des chaînes d’approvisionnement au-delà des préoccupations standards concernant les systèmes d’exploitation et/ou les logiciels propriétaires. Par ailleurs, <a href="https://www.gartner.com/en/articles/7-top-trends-in-cybersecurity-for-2022">Gartner</a> estime que 45 % des entreprises du monde entier devraient voir leur chaîne d’approvisionnement logicielle attaquée au moins une fois d’ici 2025. L’utilisation généralisée de logiciels open source crée des dépendances difficiles à identifier si elles ne sont pas suivies de près. Par exemple, un an après sa première divulgation et bien qu’il s’agisse de l’une des vulnérabilités les plus exploitées en 2022, la vulnérabilité Apache Log4j (CVE-2021-44228) était encore retrouvée dans 5 % des codebases audités par Synopsys, d’après son <a href="https://www.synopsys.com/software-integrity/resources/analyst-reports/open-source-security-risk-analysis.html?intcmp=sig-blog-ossra22">rapport sur l’analyse des risques et la sécurité open source de 2023</a>.

Enfin, la popularisation des programmes de travail à domicile et de « bring your own device » (BYOD, ou apportez votre équipement personnel de communication, en français) a étendu la surface d’exposition de la plupart des entreprises bien au-delà des frontières traditionnelles de telles infrastructures. De ce fait, les organisations doivent tenir compte des vulnérabilités potentielles échappant à leur contrôle direct.  Il est essentiel de mettre en place des politiques d’application de correctifs rigoureuses ainsi que de former et de communiquer avec les employés pour renforcer les frontières élargies de l’environnement d’une entreprise.
<h3><strong>Les mesures à prendre </strong></h3>
<ul>
 	<li>Établissez des politiques et des procédures de gestion des vulnérabilités et des correctifs alignées sur les priorités de votre entreprise et les bonnes pratiques du secteur. Des politiques claires indiquant la marche à suivre face à de nouvelles vulnérabilités accélèrent et facilitent la correction.</li>
 	<li>Si possible, investissez dans des outils permettant la détection automatique des actifs et des vulnérabilités et/ou des problèmes susceptibles de les affecter.</li>
 	<li>Dressez un inventaire complet des actifs des logiciels propriétaires de votre environnement, mais aussi des éventuelles dépendances open source entre vos applications. Les nomenclatures logicielles peuvent vous permettre d’identifier les éléments open source essentiels à vos opérations et d’agir rapidement en cas de nouvelle vulnérabilité.</li>
 	<li>Lorsque cela est possible, activez la mise à jour automatique de vos logiciels pour traiter les vulnérabilités au plus vite. Si des tests sont nécessaires pour écarter toute perturbation des opérations causée par les mises à jour, effectuez-les dans les plus brefs délais.</li>
 	<li>Le nombre de vulnérabilités divulguées chaque année peut être impressionnant. Par exemple, plus de 25 000 vulnérabilités ont été <a href="https://www.cve.org/About/Metrics">révélées en 2022</a>. Classez ces vulnérabilités par ordre de priorité pour les corriger en fonction de leur gravité et de leur exploitation active, ou non, par les auteurs des menaces. Pour ce faire, vous pouvez vous appuyer sur le catalogue des vulnérabilités exploitées connues que l’Agence américaine de cybersécurité et de sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency, ou CISA) a créé et met à jour régulièrement (le catalogue est accessible ici). Cette liste, accessible gratuitement par tous, peut constituer une ressource clé pour distinguer les véritables menaces et ainsi déterminer l’ordre de priorité dans l’application de correctifs.  De plus, le Forum des équipes d’intervention et de sécurité en cas d’incident (Forum of Incident Response and Security Teams, ou FIRST) a élaboré un <a href="https://www.first.org/epss/">système de score de prévision d’exploitation</a> (ou EPSS pour Exploit Prediction Scoring System) pouvant également faciliter la hiérarchisation des vulnérabilités à corriger en fonction de la probabilité de leur exploitation.</li>
 	<li>Il peut aussi être très utile de développer une méthodologie de hiérarchisation personnalisée pour agir rapidement et efficacement face à de nouvelles vulnérabilités. Un tel modèle dépendrait d’un ensemble d’éléments externes, tels que le score CVSS et la preuve de l’exploitation active d’une vulnérabilité, et d’éléments internes comme le caractère essentiel et/ou l’accessibilité en externe, ou non, des actifs impactés.</li>
 	<li>Instaurez des politiques claires pour la mise à jour des appareils BYOD et communiquez leurs règles aux employés. Attirez l’attention de ces derniers sur les nouvelles vulnérabilités pouvant toucher ces appareils (notamment les téléphones portables et les ordinateurs personnels) pour qu’ils soient en mesure de les corriger rapidement.</li>
</ul>
La tenue d’un programme de gestion des vulnérabilités peut faire peur, mais les mesures ci-dessus vous permettront de hiérarchiser vos efforts en fonction des menaces, même avec des ressources limitées.  Cette approche basée sur le risque aide les entreprises à optimiser les retours sur leurs investissements en s’appuyant sur le principe de Pareto, avec 80 % des bénéfices d’un programme de gestion des vulnérabilités pouvant être obtenus grâce aux 20 % initiaux des efforts.

<em>L’équipe TIME (Threat Intelligence, Mitigation, and Escalation) de renseignement, de neutralisation et d’escalade des cybermenaces a pour vocation de protéger la communauté en analysant et prévenant les risques qui menacent nos clients, notre société et notre secteur. L’équipe, qui cumule près de 50 années d’expérience dans le domaine du renseignement et de l’informatique, est convaincue que le partage d’informations et la création de relations de confiance constituent le socle d’un programme de renseignement fructueux. Notre objectif chez LastPass est de fournir des informations exploitables à tous les intervenants dans les meilleurs délais, afin d’aider nos équipes de sécurité à protéger nos clients, leurs données et leur entreprise. Nous comptons non seulement mener des analyses et informer nos équipes de sécurité sur l’évolution de l’univers des cybermenaces, mais également automatiser l’intégration de nos conclusions aux processus de nos partenaires afin de réduire le délai entre détection et prévention des menaces.</em>

Se protéger avec la cybersécurité : l’importance des correctifs pour bien se défendre

<strong><em>LastPass Labs est la base de contenu de l’équipe TIME (Threat Intelligence, Mitigation, and Escalation) de LastPass. L’analyse approfondie des derniers développements en matière de sécurit[..]

Les millions de sites et d’applications qui composent le monde numérique d’aujourd’hui sont autant de portes ouvertes pour les acteurs malveillants, qui sont prêts à bondir sur la moindre erreur ou maladresse. La cible la plus évidente ? Toute entreprise ou personne qui utilise des logiciels et technologies obsolètes. Nous avons déjà parlé sur ce blog (<a href="https://blog.lastpass.com/2023/08/cybersecurity-as-a-quilt-why-patches-are-key-to-a-strong-defense/">ici</a>) de l’importance de la gestion des vulnérabilités et d’avoir un inventaire d’actifs précis et à jour, et dans ce billet, à l’occasion du mois de sensibilisation à la cybersécurité, nous allons prendre du recul pour examiner l’importance des audits et de la modernisation de votre pile technologique.

Quel que soit le niveau technique de vos utilisateurs, analyser et moderniser votre pile technologique permet d’assurer que tous les logiciels et appareils sur votre réseau sont à jour, et que les bons outils ont été déployés pour protéger votre entreprise, puisqu’il a été prouvé que permettre à vos employés d’utiliser des ressources obsolètes augmente les risques. Plus vos logiciels et vos appareils vieillissent, plus leur sécurité décroît. Dans le monde physique, ce serait l’équivalent de continuer à se fier à des loquets à crochets alors que le monde est passé aux serrures magnétiques et au contrôle d’accès biométrique. Vos clients et votre entreprise sont vos biens les plus précieux, et les protéger avec les technologies les plus abouties relève de l’évidence.

Pour simplifier notre approche, nous allons la résumer à trois objectifs principaux : 1) Limiter les risques liés à la cybersécurité, 2) solder la dette technologique, et 3) unifier et cataloguer votre infrastructure technique. Approfondissons chacun d’eux.

<strong><u>Limiter les risques liés à la cybersécurité</u></strong>

La principale motivation pour mettre à jour votre pile technologique est de limiter les risques en matière de cybersécurité.  Il s’agit notamment de vous protéger des acteurs malveillants en exploitant les dernières versions de vos logiciels et outils, de renforcer votre résilience à l’aide d’une infrastructure dans le cloud ou hybride moderne, et de mener un audit des lacunes de vos méthodes de contrôle actuelles au regard de l’univers des cybermenaces, afin de combler ces lacunes. Être en mesure de comprendre rapidement les vulnérabilités qui vous menacent ainsi que les tactiques, techniques et procédures efficaces contre vos défenses actuelles peut vous permettre de réagir rapidement pour protéger vos clients, vos données et votre entreprise lorsqu’une nouvelle menace se présente.

<strong><u>Solder la dette technologique</u></strong>

La dette technologique est inévitable.  Le matériel et les logiciels vieillissent, des rustines sont parfois nécessaires, et le code évolue. Si elle n’est pas traitée régulièrement, la dette technologique peut engendrer des inefficacités et des risques. Une <a href="https://www.outsystems.com/1/growing-threat-technical-debt/">étude de 2021 d’Outsystems</a> révèle que les entreprises allouent 28 % de leur budget informatique à la gestion de leur dette technologique. Ce chiffre atteint même 40 % dans les grandes entreprises.  Une approche mesurée de la modernisation de leur pile technologique peut contribuer à aider les entreprises à réinitialiser cette dette technologique. Si mettre à jour des logiciels ou remplacer des outils et systèmes engendre des coûts, notamment de formation, l’efficacité et la sécurité à long terme s’en trouvent renforcées.  Une <a href="https://stripe.com/files/reports/the-developer-coefficient.pdf">étude de 2018 de Stripe</a> révèle que les ingénieurs consacrent en moyenne 33 % de leur temps à gérer la dette technologique.  Mettre à jour votre pile technologique peut libérer ce temps et permettre à votre équipe d’améliorer les processus et renforcer la sécurité.

<strong><u>Unifier et cataloguer votre infrastructure technique</u></strong>

Comme nous l’avons mentionné, nous avons déjà abordé l’importance de la gestion des actifs. L’informatique parallèle pose un certain nombre de problèmes, puisque vous ne pouvez pas protéger ou mettre à jour les technologies qui font partie de votre infrastructure mais dont vous ignorez l’existence. Mener un audit de votre pile technologique dans le cadre d’un effort de modernisation est l’occasion de créer ou de mettre à jour une « source unique de vérité » pour vos actifs technologiques. Cette approche est précieuse pour répondre aux incidents et appliquer des correctifs critiques en cas d’exploitation active d’une nouvelle faille zero-day. Disposer d’un référentiel de confiance et bien documenté crée un cadre d’exploitation commun dans l’entreprise qui peut vous aider à réagir de manière rapide, précise et décisive en situation de crise.  En outre, mettre à jour votre pile technologique est l’occasion de réexaminer vos logiciels et outils pour garantir qu’ils fonctionnent de concert le plus étroitement possible afin de renforcer la sécurité et améliorer l’efficacité.

Le <a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_jul2023.pdf">rapport d’août 2023 de Google Cloud</a> révèle que plus de la moitié des incidents gérés par ses équipes d’intervention impliquent des identifiants piratés, et le rapport recommande de meilleurs garde-fous en matière de gestion des identités. Analyser et mettre à jour votre pile technologique offre aux entreprises la possibilité de mettre en œuvre les dernières technologies de gestion des accès et de repenser et de renforcer les exigences associées.  Il est essentiel de lutter contre la crise des identifiants actuelle en fournissant des outils de sécurité modernes aux utilisateurs, comme un gestionnaire de mots de passe qui leur permet de créer, gérer, stocker et partager des données sensibles et tirer parti des dernières évolutions, dont les technologies sans mot de passe pour réduire la résistance à une bonne hygiène des mots de passe.

Moderniser votre pile technologique

Les millions de sites et d’applications qui composent le monde numérique d’aujourd’hui sont autant de portes ouvertes pour les acteurs malveillants, qui sont prêts à bondir sur la moindre erreur ou ma[..]

Si les rançongiciels continuent à faire la une de l’actualité, une forme insidieuse de logiciels malveillants connus sous le nom d’infostealers (voleurs d’informations en anglais) est de fait bien plus répandue, et touche les grandes entreprises comme les particuliers. Les infostealers ciblent les informations sensibles sur les systèmes infectés, dont les mots de passe, les portefeuilles de cryptomonnaies, les cookies de sessions, les informations bancaires et d’autres données personnelles, pour une exfiltration rapide vers l’acteur malveillant.

De nombreux logiciels infostealers sont mis en vente sous forme de service (malware-as-a-service ou MaaS), ce qui permet aux criminels de souscrire un abonnement (souvent de plusieurs centaines de dollars par mois) pour utiliser le logiciel à leurs fins, tandis que le vendeur gère la maintenance et l’hébergement du logiciel malveillant.  Cela permet d’abaisser la barrière d’entrée technologique pour les cybercriminels, ce qui explique l’expansion rapide et la généralisation des infostealers dans l’univers des cybermenaces.

<strong>Comment les victimes sont-elles infectées ?</strong>

Les victimes peuvent être infectées via diverses méthodes, dont les e-mails d’hameçonnage (phishing), en visitant un site infecté ou par l’intermédiaire d’applications malveillantes. Une fois qu’un ordinateur ou un réseau est infecté, le logiciel malveillant est exécuté et cherche à identifier et exfiltrer le plus rapidement possible des informations critiques (y compris, le cas échéant, le mot de passe maître LastPass) à partir des navigateurs et d’autres dossiers essentiels. Les acteurs malveillants exploitent ensuite ces données pour accéder aux comptes sensibles, ou ils reconditionnent ces informations pour les revendre sur les places de marché, les forums ou d’autres sites criminels.

Le prix est en moyenne d’environ <a href="https://www.accenture.com/us-en/blogs/security/information-stealer-malware-on-dark-web">$10 par enregistrement</a> (ou log dans le jargon), et des millions de logs sont disponibles à la vente à un instant T, ce qui atteste de l’ampleur et de la banalisation des infostealers. Ces logs contiennent des identifiants et d’autres informations sensibles sur les victimes, qu’il s’agisse de multinationales, de PME ou de comptes particuliers dérobés sur un ordinateur personnel.

<strong>Que fait LastPass pour traiter ce problème ?</strong>

Tout d’abord, dans le cadre de nos efforts visant à renforcer notre sécurité, LastPass a effectué des investissements importants dans un programme de renseignement sur les cybermenaces.  Nous avons notamment monté l’équipe TIME (Threat Intelligence, Mitigation, and Escalation) de renseignement, de neutralisation et d’escalade des cybermenaces, développant ainsi considérablement notre veille et nos alertes en exploitant les signalements propriétaires et en open source, et la surveillance du deep web et du dark web à l’affût d’activités malveillantes. En outre, nous rendons ces données de renseignement exploitables en automatisant leur intégration avec nos équipes de détection et réponse et de gestion des vulnérabilités, afin de réduire les délais de neutralisation. Enfin, nous avons développé un processus dédié et ciblé pour suivre et signaler les identifiants piratés aux clients qui s’inscrivent à la surveillance du dark web.

Sans surprise, les mots de passe maîtres sont très prisés par la communauté des infostealers, puisqu’ils permettent potentiellement d’accéder au coffre-fort des clients et donc à leurs données sensibles et leurs mots de passe. Bien que des dizaines d’infostealers soient disponibles, LastPass surveille trois souches qui font souvent la promotion d’identifiants de clients LastPass :
<ul>
 	<li><u>Redline </u>: Ce stealer MaaS parmi les plus répandus est disponible depuis 2020.</li>
 	<li><u>Raccoon </u>: Ce stealer et ses dérivés sont disponibles depuis 2019.</li>
 	<li><u>Vidar </u>: Disponible depuis 2018, ce stealer est également capable d’effectuer des captures d’écran.</li>
</ul>
LastPass prend des mesures importantes pour protéger les identifiants de ses clients. Nous avons récemment étendu notre surveillance du dark web à celle des logs d’infostealers et d’autres sources qui proposent potentiellement des identifiants LastPass. Bien que LastPass ne puisse pas bloquer l’infection initiale, puisqu’elle passe généralement par des tentatives d’hameçonnage, la consultation de sites infectés ou l’installation d’applications malveillantes en local sur l’appareil de l’utilisateur, nous pouvons contribuer à protéger nos clients en les informant que leurs données ont été piratées.

<strong>Que faire pour protéger son compte ?</strong>

Nous recommandons à tous les utilisateurs LastPass de s’inscrire au programme de surveillance du dark web, qui fournit un niveau de protection supplémentaire. Nous vous notifions ensuite si vos identifiants sont détectés sur le dark web. Par ailleurs :
<ul>
 	<li>Utilisez l’authentification multifacteur (MFA) si disponible pour protéger vos comptes. N’acceptez et ne validez pas les requêtes de MFA que vous n’avez pas explicitement déclenchées.</li>
 	<li>Ne faites pas confiance aux applications fournies via des canaux non conventionnels (hors des App Store généralistes).</li>
 	<li>Utilisez un logiciel antivirus et actualisez-le régulièrement ou mieux, activez les mises à jour automatiques.</li>
 	<li>N’enregistrez pas votre mot de passe maître sur votre appareil, y compris dans le gestionnaire de préremplissage de votre navigateur.</li>
</ul>
LastPass continue à renforcer sa capacité de surveillance et de signalement, et nous développons un processus pour entraver de manière proactive les souches de logiciels malveillants qui ciblent les comptes LastPass. Nous sommes déterminés à informer nos clients ainsi que la communauté de la cybersécurité sur ces tendances, sur les mesures que nous prenons pour assurer la sécurité des données de nos clients et sur l’impact de nos efforts dans un souci de transparence.

<em>LastPass Labs est la base de contenu de l’équipe TIME (Threat Intelligence, Mitigation, and Escalation) de LastPass. L’analyse approfondie des derniers développements en matière de sécurité, la veille technologique ainsi qu’un regard acéré sur les cybermenaces sont nos principaux objectifs.</em>

<em>L’équipe TIME (Threat Intelligence, Mitigation, and Escalation) de renseignement, de neutralisation et d’escalade des cybermenaces a pour vocation de protéger la communauté en analysant et prévenant les risques qui menacent nos clients, notre société et notre secteur. L’équipe, qui cumule près de 50 années d’expérience dans le domaine du renseignement et de l’informatique, est convaincue que le partage d’informations et la création de relations de confiance constituent le socle d’un programme de renseignement fructueux. Notre objectif chez LastPass est de fournir des informations exploitables à tous les intervenants dans les meilleurs délais, afin d’aider nos équipes de sécurité à protéger nos clients, leurs données et leur entreprise. Nous comptons non seulement mener des analyses et informer nos équipes de sécurité sur l’évolution de l’univers des cybermenaces, mais également automatiser l’intégration de nos conclusions aux processus de nos partenaires afin de réduire le délai entre détection et prévention des menaces.</em>

Infostealers : les logiciels voleurs d’informations sont une menace de grande ampleur

Si les rançongiciels continuent à faire la une de l’actualité, une forme insidieuse de logiciels malveillants connus sous le nom d’infostealers (voleurs d’informations en anglais) est de fait bien plu[..]

Blog

Blog

Actualité

Actualités sectorielles

LastPass pour les administrateurs

LastPass Labs

Mises à jour des produits

Conseils et astuces

ABC de la sécurité

Qui veut vos mots de passe et pourquoi faire ?

Reconnaître et éviter les cyberattaques courantes

Se protéger avec la cybersécurité : l’importance des correctifs pour bien se défendre

Moderniser votre pile technologique

Infostealers : les logiciels voleurs d’informations sont une menace de grande ampleur

S’abonner au blog LastPass sur la sécurité