Bourrage d’identifiants et pulvérisation de mots de passe

Le bourrage d’identifiants est une attaque automatisée qui prend des couples nom d’utilisateur/mot de passe volés lors d’une fuite de données et les essaie sur d’autres services. Elle exploite la réutilisation des mots de passe : si une personne utilise le même mot de passe partout, une seule fuite compromet tous ses comptes.

Des milliards d’identifiants sont disponibles à l’achat sur les marchés et les forums du web clandestin. Des outils comme Sentry MBA, SNIPR et des scripts Python personnalisés automatisent l’essai de milliers de couples d’identifiants par minute sur de nombreux services simultanément.

Les études montrent que plus de 65 % des personnes réutilisent leurs mots de passe sur plusieurs sites. La fuite d’un forum peu sécurisé peut compromettre les comptes bancaires, de messagerie et professionnels de la même personne si elle réutilise ses identifiants.

La pulvérisation de mots de passe consiste à essayer quelques mots de passe courants (par exemple, « Spring2024! » et « Password1 ») sur de nombreux comptes. Contrairement à la force brute, cette technique évite les verrouillages en répartissant les tentatives sur de nombreux comptes, avec un mot de passe à la fois.

Comparaison :

• Force brute — de nombreux mots de passe contre un seul compte → déclenche le verrouillage
• Pulvérisation de mots de passe — un mot de passe contre de nombreux comptes → reste sous le seuil de verrouillage
• Bourrage d’identifiants — couples connus provenant de fuites → ne devine rien

Indicateurs de détection :

• Grand nombre de tentatives de connexion échouées depuis de nombreuses IP
• Taux de réussite soudainement supérieur à la référence
• Connexions provenant de nœuds de sortie Tor, de réseaux privés virtuels ou de serveurs mandataires résidentiels
• Empreintes d’appareils associées à des outils automatisés
• Connexions depuis des emplacements géographiquement impossibles

Indicateurs de pulvérisation :

• Nombreux comptes présentant des échecs de connexion au même moment
• Tentatives échouées juste sous le seuil de verrouillage (par exemple, si le verrouillage est fixé à 5, observer 4 échecs par compte)
• Même mot de passe essayé sur de nombreux comptes

Principales défenses :

• MFA — les identifiants volés seuls ne suffisent pas
• Détection des mots de passe compromis — refuser les mots de passe connus comme compromis lors de l’inscription ou de la modification
• CAPTCHA sur les formulaires de connexion
• Réputation des IP — bloquer les plages connues comme malveillantes
• Empreinte des appareils — signaler les connexions depuis de nouveaux appareils

Défenses :

• Politiques de verrouillage des comptes (avec alertes)
• MFA obligatoire pour tous les comptes
• Bloquer les mots de passe courants à l’aide d’une liste de refus
• Surveiller les journaux d’authentification pour détecter les schémas de pulvérisation
• Accès conditionnel exigeant une vérification supplémentaire pour les connexions anormales

Alerter les utilisateurs lors de connexions depuis de nouveaux appareils ou emplacements leur permet de signaler immédiatement eux-mêmes les prises de contrôle de leur compte. De nombreux services envoient des courriels indiquant « Nouvelle connexion depuis [Ville, Appareil] » — les utilisateurs doivent examiner les notifications inattendues et y donner suite.

L’outil HaveIBeenPwned de Troy Hunt regroupe les données de fuites. Les organisations peuvent intégrer l’interface de programmation de HIBP fondée sur l’anonymat k afin de vérifier si des mots de passe figurent dans des fuites connues, sans envoyer le mot de passe complet à l’interface.

Le bourrage d’identifiants réutilise des identifiants volés lors d’une fuite sur d’autres services, ce qui est rendu possible par la réutilisation des mots de passe. La pulvérisation de mots de passe essaie des mots de passe courants sur de nombreux comptes afin d’éviter les verrouillages. Les défenses comprennent la MFA, la vérification des mots de passe compromis, les CAPTCHA, le blocage fondé sur la réputation des IP et la surveillance des journaux d’authentification à la recherche de schémas anormaux.