8Sep
Les gens disent que leurs comptes en ligne sont "piratés", mais comment ce piratage a-t-il lieu? La réalité est que les comptes sont piratés de manière assez simple - les attaquants n'utilisent pas la magie noire.
La connaissance est le pouvoir. Comprendre comment les comptes sont réellement compromis peut vous aider à sécuriser vos comptes et à empêcher que vos mots de passe soient «piratés» en premier lieu.
Réutilisation des mots de passe, particulièrement des fuites
Beaucoup de gens - peut-être même la plupart des gens - réutilisent les mots de passe pour différents comptes. Certaines personnes peuvent même utiliser le même mot de passe pour chaque compte qu'ils utilisent. Ceci est extrêmement peu sûr. De nombreux sites Web - même ceux de grande taille et bien connus comme LinkedIn et eHarmony - ont vu leurs bases de données de mot de passe se répandre au cours des dernières années. Les bases de données de mots de passe divulgués ainsi que les noms d'utilisateur et les adresses e-mail sont facilement accessibles en ligne. Les pirates peuvent essayer ces combinaisons d'adresse e-mail, de nom d'utilisateur et de mot de passe sur d'autres sites Web et accéder à de nombreux comptes.
Réutiliser un mot de passe pour votre compte de messagerie vous met encore plus à risque, car votre compte de messagerie pourrait être utilisé pour réinitialiser tous vos autres mots de passe si un attaquant y avait accès.
Quelle que soit la qualité de vos mots de passe, vous ne pouvez pas contrôler si les services que vous utilisez sécurisent vos mots de passe. Si vous réutilisez des mots de passe et qu'une société glisse, tous vos comptes seront à risque. Vous devriez utiliser des mots de passe différents partout - un gestionnaire de mot de passe peut vous aider.
Keyloggers
Keyloggers sont des morceaux malveillants de logiciels qui peuvent s'exécuter en arrière-plan, en enregistrant chaque coup de clé que vous faites. Ils sont souvent utilisés pour capturer des données sensibles comme les numéros de carte de crédit, les mots de passe bancaires en ligne et d'autres informations d'identification de compte. Ils envoient ensuite ces données à un attaquant sur Internet.
Un tel malware peut arriver via des exploits - par exemple, si vous utilisez une version obsolète de Java, comme la plupart des ordinateurs sur Internet, vous pouvez être compromis via une applet Java sur une page Web. Cependant, ils peuvent aussi arriver déguisés dans d'autres logiciels. Par exemple, vous pouvez télécharger un outil tiers pour un jeu en ligne. L'outil peut être malveillant, en capturant votre mot de passe de jeu et en l'envoyant à l'attaquant sur Internet.
Utilisez un programme antivirus décent, maintenez votre logiciel à jour et évitez de télécharger des logiciels non fiables.
Ingénierie sociale
Les attaquants utilisent également des astuces d'ingénierie sociale pour accéder à vos comptes. L'hameçonnage est une forme généralement connue d'ingénierie sociale - essentiellement, l'agresseur usurpe l'identité d'une personne et vous demande votre mot de passe. Certains utilisateurs transmettent leurs mots de passe facilement. Voici quelques exemples d'ingénierie sociale:
- Vous recevez un email qui prétend être de votre banque, vous dirige vers un site Web de la fausse banque et vous demande de remplir votre mot de passe.
- Vous recevez un message sur Facebook ou sur tout autre site Web social d'un utilisateur qui prétend être un compte Facebook officiel, vous demandant d'envoyer votre mot de passe pour vous authentifier.
- Vous visitez un site qui promet de vous donner quelque chose de précieux, comme des jeux gratuits sur Steam ou de l'or gratuit dans World of Warcraft. Pour obtenir cette fausse récompense, le site Web requiert votre nom d'utilisateur et votre mot de passe pour le service.
Faites attention à qui vous donnez votre mot de passe - ne cliquez pas sur les liens dans les e-mails et allez sur le site Web de votre banque, ne donnez pas votre mot de passe à quiconque vous contacte et ne le demande pas.sites Web peu fiables, en particulier ceux qui semblent trop beau pour être vrai.
Questions de sécurité de réponse
Les mots de passe peuvent souvent être réinitialisés en répondant à des questions de sécurité.Les questions de sécurité sont généralement incroyablement faibles - souvent des choses comme «Où êtes-vous né?», «À quel établissement êtes-vous allé?» Et «Quel était le nom de jeune fille de votre mère?».Il est souvent très facile de trouver cette information sur des sites de réseautage social accessibles au public, et la plupart des gens normaux vous diraient à quelle école ils sont allés si on leur demandait. Grâce à cette information facile à obtenir, les pirates peuvent souvent réinitialiser les mots de passe et accéder aux comptes.
Idéalement, vous devriez utiliser des questions de sécurité avec des réponses qui ne sont pas facilement découvertes ou devinées. Les sites Web devraient également empêcher les gens d'accéder à un compte juste parce qu'ils connaissent les réponses à quelques questions de sécurité, et certains le font, mais certains ne le font toujours pas. Compte de messagerie
et mot de passe réinitialise
Si un attaquant utilise l'une des méthodes ci-dessus pour accéder à vos comptes de messagerie, vous avez plus de problèmes. Votre compte de messagerie fonctionne généralement comme votre compte principal en ligne. Tous les autres comptes que vous utilisez sont liés à celui-ci, et toute personne ayant accès au compte de messagerie peut l'utiliser pour réinitialiser vos mots de passe sur un certain nombre de sites auxquels vous avez enregistré avec l'adresse e-mail.
Pour cette raison, vous devriez sécuriser autant que possible votre compte email. Il est particulièrement important d'utiliser un mot de passe unique et de le protéger soigneusement.
Quel mot de passe "Hacking" n'est pas
La plupart des gens pensent probablement que les attaquants essayent chaque mot de passe possible pour se connecter à leur compte en ligne. Cela n'arrive pas. Si vous essayiez de vous connecter au compte en ligne de quelqu'un et que vous continuiez à deviner les mots de passe, vous seriez ralenti et empêché d'essayer plus d'une poignée de mots de passe.
Si un attaquant pouvait entrer dans un compte en ligne en devinant des mots de passe, il est probable que le mot de passe était quelque chose d'évident qui pouvait être deviné lors des premières tentatives, comme "password" ou le nom de l'animal.
Les attaquants ne pouvaient utiliser de telles méthodes que s'ils avaient un accès local à vos données. Supposons par exemple que vous stockiez un fichier chiffré dans votre compte Dropbox et que des attaquants y accèdent et téléchargent le fichier chiffré.Ils pourraient alors essayer de forcer le cryptage, en essayant essentiellement chaque combinaison de mot de passe unique jusqu'à ce que l'on travaille.
Les personnes qui disent que leurs comptes ont été «piratés» sont probablement coupables de réutilisation de mots de passe, d'installation d'un enregistreur de frappe ou de remise de leurs informations d'identification à un attaquant après des tours d'ingénierie sociale. Ils peuvent également avoir été compromis à la suite de questions de sécurité faciles à deviner.
Si vous prenez les précautions de sécurité appropriées, il ne sera pas facile de "pirater" vos comptes. L'utilisation de l'authentification à deux facteurs peut aussi aider - un attaquant aura besoin de plus que votre mot de passe pour entrer.
Crédit image: Robbert van der Steeg sur Flickr, sur Flickr