Le concept de mot de passe a été développé pour aider les utilisateurs à contrôler l’accès à une ressource que nous ne souhaitons pas partager, principalement des informations. Les mots de passe sont la principale barrière qui empêche un acteur malveillant d’accéder à nos réseaux sociaux, à nos courriels ou à d’autres services comme le commerce en ligne.
Ayant une fonction aussi critique, les cybercriminels tenteront de les obtenir par tous les moyens. En avril 2021, Facebook a été victime d’une fuite touchant 500 millions d’utilisateurs ; parmi les informations divulguées figuraient les adresses e-mail, la date de naissance, le numéro de téléphone ou la localisation géographique de la personne.
En 2014, Forbes a été victime d’une attaque menée par l’armée électronique syrienne : les données d’un million d’utilisateurs ont été divulguées, et les mots de passe des victimes ont également été publiés.
Il existe de nombreux cas d’attaques de ce type et il est donc essentiel de prendre une série de précautions lors de la configuration de nos mots de passe afin de réduire les risques, en particulier lorsqu’il s’agit de services ouverts sur Internet.
1. Utilisez des mots de passe robustes
L’utilisation de mots de passe pose plusieurs problèmes à l’utilisateur, car ils peuvent être difficiles à retenir. Une pratique très répandue consiste à utiliser des mots de passe peu sécurisés parce qu’ils sont faciles à mémoriser, comme le nom d’un animal de compagnie ou une date importante pour nous.
Si nous utilisons un mot de passe facile à deviner, il est très probable qu’un attaquant finisse par accéder à nos comptes ; pour l’éviter, nous devrions nous familiariser avec le concept de mots de passe sécurisés.
Un mot de passe robuste est un mot de passe difficile à découvrir pour un attaquant. Nous devrions utiliser des mots de passe d’une longueur de plus de 12 caractères, composés de chiffres, de majuscules, de minuscules et de symboles.
La raison d’utiliser des mots de passe présentant ces caractéristiques est que les ordinateurs sont de plus en plus puissants, et un attaquant pourra tester toutes les combinaisons possibles jusqu’à trouver la bonne. C’est ce que l’on appelle une attaque par force brute.
Par exemple, un mot de passe de 6 caractères, comme « patate », pourrait être découvert de manière quasi immédiate. Tandis qu’un mot de passe de 12 caractères combinant chiffres, majuscules, minuscules et symboles pourrait prendre jusqu’à 34 000 ans. Nous voyons ci-dessous un tableau qui illustre cet exemple en tenant compte du nombre de caractères et de la complexité du mot de passe.
2. Réutiliser des mots de passe est une très mauvaise idée
Qui n’a jamais utilisé le même mot de passe sur plusieurs sites ? C’est l’une des erreurs les plus courantes que nous commettons en privilégiant la commodité au détriment de la sécurité. Il est compliqué de travailler quotidiennement avec des dizaines de mots de passe différents qui soient en même temps robustes.
De nombreux utilisateurs finissent par utiliser le même mot de passe pour plusieurs services. C’est une pratique désastreuse du point de vue de la cybersécurité. Elle peut entraîner un effet domino si le mot de passe est découvert, compromettre totalement notre identité en ligne et même nous affecter financièrement.
Si un site web sur lequel nous nous étions inscrits subit une fuite de données, il est très probable que le cybercriminel tente de se connecter à notre messagerie, à nos réseaux sociaux ou à nos services de commerce en ligne avec les données qu’il vient d’obtenir.
L’attaquant pourrait accéder à tous les comptes sur lesquels nous avons réutilisé ce mot de passe et les utiliser pour propager des logiciels malveillants auprès de nos contacts ou effectuer des achats avec les données de paiement que nous avons enregistrées.
Pour nous aider à résoudre ce problème, nous devons utiliser des gestionnaires de mots de passe, tels que LastPass, Keeper ou KeePass. Nous disposerons ainsi de mots de passe différents et robustes, sans avoir à tous les mémoriser.
3. Utilisez la 2FA autant que possible
La 2FA, également connue sous le nom d’authentification à deux facteurs, est un mécanisme de sécurité qui ajoute une couche de protection supplémentaire.
Aujourd’hui, la plupart des services prennent en charge l’utilisation de plusieurs facteurs d’authentification, et il est fortement recommandé de les utiliser. Grâce à cette mesure de sécurité, pour nous connecter à un compte, nous devrons connaître le mot de passe et quelque chose de plus.
Même si nous suivons les bonnes pratiques d’utilisation des mots de passe sur Internet, nous pouvons être piratés. Ainsi, si en plus du mot de passe nécessaire pour nous connecter nous avons besoin d’un code envoyé sur notre téléphone portable, nous ajoutons une couche de sécurité supplémentaire qui complique sensiblement l’attaque.
Malgré cela, nous devons savoir que l’utilisation de la 2FA ne garantit pas totalement notre sécurité ; nous devons toujours rester vigilants. Les attaques deviennent de plus en plus sophistiquées et chercheront à tromper l’utilisateur pour qu’il leur fournisse ce code.
Un exemple courant de ces attaques est l’envoi de messages frauduleux nous informant d’une prétendue connexion malveillante ou, par exemple, qu’un colis en attente de livraison a été retenu. L’utilisateur croira qu’il s’agit d’un message légitime et cliquera sur le lien figurant dans ce message. Sans le savoir, la victime pourrait fournir son mot de passe et son code 2FA à l’attaquant.
4. Vérifiez si vous avez été victime d’une fuite de données
Un autre problème auquel nous serons confrontés est de savoir si certains de nos identifiants ont pu être divulgués sur Internet. Nous devrions utiliser des services comme Have I Been Pwned pour nous aider à diagnostiquer la sécurité de nos identifiants.
L’utilisation de ce service nous permet d’agir rapidement pour empêcher un attaquant de compromettre nos comptes. Il est recommandé d’utiliser la fonction « Notify me » afin d’être averti immédiatement par e-mail si nous sommes victimes.
5. Protégez-vous des logiciels malveillants et du phishing
Les cybercriminels peuvent également recourir au phishing et aux virus pour obtenir nos mots de passe.
Lorsque nous recevons un message dans notre boîte e-mail, nous devons éviter de fournir des informations susceptibles de mettre notre identité en danger, ne pas cliquer sur les liens ni ouvrir de pièces jointes que nous n’attendions pas.
Pour atténuer les risques liés au phishing et aux logiciels malveillants, il est recommandé d’utiliser un logiciel antivirus à jour et de mettre à jour aussi bien le système d’exploitation que les logiciels que nous utilisons.
Un exemple typique que nous connaissons tous est certainement le phishing bancaire par SMS.
Nous recevons le SMS suivant qui, en théorie, provient de notre banque.
Le message nous informe d’une connexion non autorisée à notre compte bancaire et nous demande d’accéder au lien IMMÉDIATEMENT pour confirmer ou infirmer que c’était bien nous. Si l’on ne connaît pas ce type de techniques malveillantes, il est très facile de s’alarmer et de cliquer sur le lien.
Au cours du processus, nous serons redirigés vers un site web qui usurpera l’identité de notre banque et nous demandera nos identifiants.
Si nous sommes négligents, nous pourrions fournir nos identifiants bancaires à un cybercriminel.
Conclusions
Les mots de passe sont la serrure de nos services en ligne. Plus ils sont difficiles à deviner et plus nous faisons preuve de prudence dans leur utilisation (ne les partager avec personne, les conserver dans un environnement sécurisé, utiliser des mots de passe différents, etc.), plus il sera sûr de les utiliser.
Les cybercriminels connaissent leur importance et utilisent donc des moyens de plus en plus sophistiqués pour voler notre identité numérique et l’usurper. Nous devons toujours disposer d’une authentification à deux facteurs et utiliser des moyens qui compliquent l’usurpation d’identité.
Et vous, comment protégez-vous vos identifiants ?