Les incidents de fuite d’identifiants doublent à mesure que les pirates gagnent en sophistication

Rejoignez Dan Woods (vice-président du Shape Security Intelligence Center chez F5) et Sander Vinberg (évangéliste des menaces chez F5 Labs), qui analysent le nouveau rapport de F5 Labs sur le credential stuffing avec John Wagnon et Jason Rahm de DevCentral.

Pour en savoir plus, consultez le rapport complet 2021 sur le credential stuffing et regardez une version longue de la discussion DevCentral Connects ici. Vous trouverez également ci-dessous un résumé des principales conclusions du rapport.

Selon le dernier rapport de F5 Labs sur le credential stuffing, le nombre annuel d’incidents de fuite d’identifiants a presque doublé entre 2016 et 2020.

L’étude la plus complète de ce type a fait état d’une baisse de 46 % du volume d’identifiants compromis au cours de la même période. Le nombre moyen d’enregistrements par fuite a également diminué, passant de 63 millions en 2016 à 17 millions l’année dernière. Parallèlement, le nombre médian d’enregistrements par fuite en 2020 (2 millions) a augmenté de 234 % par rapport à 2019 et atteint son plus haut niveau depuis 2016 (2,75 millions).

Le credential stuffing, qui consiste à exploiter de grandes quantités de paires compromises associant un nom d’utilisateur et/ou une adresse e-mail à un mot de passe, constitue un problème mondial croissant. À titre indicatif, une notification destinée au secteur privé publiée l’année dernière par le FBI avertissait que cette menace représentait la plus grande part des incidents de sécurité visant le secteur financier américain entre 2017 et 2020 (41 %).

« Les attaquants collectent des milliards d’identifiants depuis des années », a déclaré Sara Boddy, directrice principale des communautés F5 (F5 Labs et DevCentral). « Les fuites d’identifiants sont comparables à des marées noires : une fois les données divulguées, il est très difficile d’y remédier, car les consommateurs qui ne se doutent de rien ne changent pas leurs identifiants et les entreprises sont encore loin d’avoir largement adopté des solutions contre le credential stuffing. Il n’est donc pas surprenant qu’au cours de cette période de recherche, nous ayons constaté que le credential stuffing avait supplanté les attaques HTTP en tête des types d’attaques. Ce type d’attaque a des répercussions à long terme sur la sécurité des applications, et la situation n’est pas près de changer. Si vous craignez d’être victime d’un piratage, il est fort probable qu’il résulte d’une attaque par credential stuffing. »

Au vu de ces conclusions, Sander Vinberg, évangéliste de la recherche sur les menaces chez F5 Labs et coauteur du rapport, a exhorté les organisations à rester vigilantes.

« S’il est intéressant de constater que le volume global et la quantité d’identifiants divulgués ont diminué en 2020, il est encore bien trop tôt pour crier victoire », a-t-il averti. « Les attaques visant les accès, notamment le bourrage d’identifiants et l’hameçonnage, sont désormais la première cause des violations de données. Il est très peu probable que les équipes de sécurité soient en train de gagner la guerre contre l’exfiltration de données et la fraude. Il semblerait donc que nous assistions à la stabilisation d’un marché jusqu’alors chaotique, à mesure qu’il gagne en maturité. »

Stockage inadéquat des mots de passe et sophistication croissante des attaquants

Malgré un consensus croissant autour des bonnes pratiques du secteur, l’une des principales conclusions du rapport est que le stockage inadéquat des mots de passe reste un problème récurrent.

Bien que la plupart des organisations ne divulguent pas leurs algorithmes de hachage des mots de passe, F5 a pu étudier 90 incidents spécifiques afin de déterminer les causes les plus probables des fuites d’identifiants.

Au cours des trois dernières années, 42,6 % des fuites d’identifiants ne bénéficiaient d’aucune protection et les mots de passe étaient stockés en texte clair. Venaient ensuite 20 % des identifiants, associés à l’algorithme de hachage de mots de passe SHA-1 et « non salés » (c’est-à-dire dépourvus d’une valeur unique pouvant être ajoutée à la fin du mot de passe afin de produire une valeur de hachage différente). L’algorithme bcrypt « salé » arrivait en troisième position avec 16,7 %. Étonnamment, l’algorithme de hachage MD5, pourtant largement discrédité, ne représentait qu’une faible proportion des identifiants divulgués, même lorsque les hachages étaient salés (0,4 %). Depuis des décennies, MD5 est considéré comme peu sûr et son utilisation comme une mauvaise pratique, avec ou sans salage.

Une autre observation notable du rapport est que les attaquants utilisent de plus en plus des techniques de « fuzzing » afin d’optimiser leurs chances d’exploiter les identifiants. Le fuzzing consiste à rechercher des vulnérabilités de sécurité dans le code d’analyse des entrées en testant de manière répétée l’analyseur avec des entrées modifiées. F5 a constaté que la plupart des attaques par fuzzing avaient eu lieu avant la divulgation publique des identifiants compromis, ce qui laisse penser que cette pratique est plus courante chez les attaquants expérimentés.

Détection des fuites

Dans le Rapport 2018 sur le credential stuffing, F5 indiquait qu’il fallait en moyenne 15 mois pour qu’une fuite d’identifiants soit rendue publique. La situation s’est améliorée au cours des trois dernières années. Le délai moyen de détection des incidents, lorsque la date de l’incident et celle de sa découverte sont toutes deux connues, est désormais d’environ onze mois. Toutefois, ce chiffre est faussé par quelques incidents dont la détection a pris trois ans ou plus. Le délai médian de détection des incidents est de 120 jours. Il est important de noter que les fuites sont souvent détectées sur le Dark Web avant que les organisations ne divulguent une violation de données.

Le Dark Web sous les projecteurs

L’annonce d’une fuite coïncide généralement avec l’apparition d’identifiants sur les forums du Dark Web. Pour son rapport 2020 sur le credential stuffing, F5 a analysé en particulier la période cruciale entre le vol des identifiants et leur publication sur le Dark Web.

Les chercheurs ont mené une analyse historique à partir d’un échantillon de près de 9 milliards d’identifiants issus de milliers de violations de données distinctes, désigné sous le nom de « Collection X ». Ces identifiants ont été publiés sur des forums du Dark Web début janvier 2019.

F5 a comparé les identifiants de la Collection X aux noms d’utilisateur employés lors d’attaques par bourrage d’identifiants visant un groupe de clients, au cours des six mois précédant et suivant la date de divulgation (la première fois qu’une fuite d’identifiants est rendue publique). Quatre entreprises clientes du classement Fortune 500 ont été étudiées — deux banques, un détaillant et une entreprise du secteur agroalimentaire — représentant 72 milliards de tentatives de connexion sur 21 mois. Grâce à la technologie de Shape Security, les chercheurs ont pu « suivre » les identifiants volés depuis leur dérobement jusqu’à leur vente et leur utilisation.

Sur une période de 12 mois, 2,9 milliards d’identifiants différents ont été utilisés aussi bien dans le cadre de transactions légitimes que d’attaques visant les quatre sites web. Près d’un tiers des identifiants (900 millions) avaient été compromis. Les identifiants volés ont été le plus souvent utilisés lors de transactions légitimes effectuées par des utilisateurs auprès des banques (dans respectivement 35 % et 25 % des cas). 10 % des attaques ciblaient le commerce de détail, tandis qu’environ 5 % visaient le secteur de l’agroalimentaire et des boissons.

Les cinq phases de l’utilisation abusive d’identifiants

Sur la base de cette étude, le rapport sur le credential stuffing a identifié cinq phases distinctes d’utilisation abusive des identifiants :

• Lentement et discrètement : Les identifiants compromis étaient utilisés furtivement jusqu’à un mois avant une annonce publique. En moyenne, chaque identifiant était utilisé 15 à 20 fois par jour dans le cadre d’attaques visant les quatre sites web.
• La montée en puissance : Au cours des 30 jours précédant l’annonce publique, F5 a constaté que les identifiants circulaient sur le Dark Web. Davantage d’attaquants y ont eu accès, ce qui explique l’augmentation constante du nombre d’attaques quotidiennes.
• L’assaut éclair : Lorsque les identifiants ont été rendus publics, les « script kiddies » et autres amateurs ont commencé à les utiliser contre les principaux sites web. La première semaine a été particulièrement intense, chaque compte ayant subi en moyenne plus de 130 attaques par jour.
• La baisse/le nouvel équilibre : Après le premier mois, F5 a constaté un nouvel équilibre d’environ 28 attaques par nom d’utilisateur et par jour. Fait intéressant, ce nouvel équilibre est supérieur au niveau initial de 15 attaques observé pendant la phase « lente et discrète ». Cela s’explique par le fait qu’un sous-ensemble d’attaquants novices continue de cibler des entreprises à forte valeur avec des identifiants « obsolètes ».
• Réincarnation : Après avoir mené des attaques par bourrage d’identifiants sur diverses propriétés web, certains cybercriminels ont entrepris de reconditionner les identifiants valides afin de prolonger leur durée d’exploitation.

Réduire la menace

« Le bourrage d’identifiants restera une menace tant que nous demanderons aux utilisateurs de se connecter à des comptes en ligne, a ajouté Boddy. Les attaquants continueront d’adapter leurs attaques aux techniques de protection contre la fraude, ce qui crée un besoin important et ouvre la voie à des contrôles adaptatifs fondés sur l’IA pour lutter contre le bourrage d’identifiants et la fraude. Il est impossible de détecter instantanément 100 % des attaques. Ce qui est possible, en revanche, c’est de rendre les attaques si coûteuses que les fraudeurs finissent par abandonner. S’il est une vérité qui vaut aussi bien dans le monde des cybercriminels que dans celui des affaires, c’est que le temps, c’est de l’argent. »

Pour découvrir d’autres points de vue sur le renseignement sur les menaces et la cybersécurité, consultez https://www.f5.com/labs.