Credential stuffing
Principales conclusions
- Le “credential stuffing” est une attaque simple mais efficace qui consiste à tester massivement des listes d’identifiants et mots de passe (ayant fuité d’un site A) sur de nombreux autres sites (B, C, D…).
- Son succès repose sur la tendance très répandue des utilisateurs à réutiliser les mêmes mots de passe sur différents services.
- L’objectif final est le “Mailaccess”, c’est-à-dire la prise de contrôle de comptes pour des usages variés (fraude, vol de services, usurpation d’identité, revente de données).
L’attaque s’articule autour de quatre éléments principaux :
- Logiciel d’automatisation (ex: SilverBullet).
- Combolist (la liste d’identifiants à tester).
- Configuration (le script indiquant au logiciel comment cibler un site précis).
- Proxys (pour masquer l’adresse IP de l’attaquant).
Pourquoi cette menace est-elle si répandue ?
- Très grande accessibilité : La barrière technique pour lancer une attaque est extrêmement faible. Il suffit d’assembler les composants.
- Processus industrialisé : La facilité d’emploi des outils et l’explosion du nombre de listes d’identifiants (notamment via les malwares infostealers) rendent ces attaques faciles à déployer à grande échelle.
Recommandations de sécurité pour les entreprises
- Défenses techniques : Mettre en place l’authentification à double facteur (2FA) et des CAPTCHA pour bloquer les robots.
- Détection & Blocage : Utiliser des outils d’analyse comportementale pour repérer les connexions suspectes, ce qui est plus efficace que de simplement bloquer des adresses IP (qui peuvent être partagées ou appartenir à des utilisateurs légitimes infectés).
- Renseignement sur la Menace (Threat Intelligence) :
- Surveiller les fuites de données pour identifier les comptes clients à risque.
- Connaissance des tendances : infiltrer des groupes dédiés à cette fraude, surveiller les marques mentionnées et ciblées, être au fait des dernières mises à jour de logiciels utilisés par les attaquants
- Analyser les configurations qui ciblent son propre site pour découvrir des failles.
Recommandation essentielle pour les utilisateurs
- Varier les mots de passe : C’est la défense la plus[MM1] efficace. Utiliser un mot de passe unique pour chaque service empêche une fuite sur un site de compromettre les autres comptes. Bien que cette opération puisse paraître fastidieuse, les gestionnaires de mot de passe permettent de simplifier cette pratique.
Services CTI d’Intrinsec
Les organisations sont confrontées à une sophistication croissante des acteurs malveillants et des techniques d’intrusion. Pour faire face à ces menaces en constante évolution, il est désormais nécessaire d’adopter une approche proactive dans la détection et l’analyse de tout élément jugé malveillant. Une telle approche pratique permet aux entreprises d’anticiper, ou du moins de réagir le plus rapidement possible aux compromissions auxquelles elles sont confrontées.
Pour ce rapport, partagé avec nos clients en janvier 2025, Intrinsec s’est appuyé sur son service Cyber Threat Intelligence, qui fournit à ses clients des informations à forte valeur ajoutée, contextualisées et exploitables pour comprendre et contenir les cybermenaces. Notre équipe CTI consolide les données et les informations recueillies par nos services de surveillance de la sécurité (SOC, MDR, etc.), notre équipe de réponse aux incidents (CERT-Intrinsec) et les renseignements cyber personnalisés générés par nos analystes à l’aide d’heuristiques personnalisées, de honeypots, de chasse, de rétro-ingénierie et de pivots.
Intrinsec propose également divers services autour du Cyber Threat Intelligence :
- Anticipation des risques : qui peut être mise à profit pour adapter en permanence les capacités de détection et de réponse des outils existants de nos clients (EDR, XDR, SIEM, …) grâce à :
- un flux opérationnel d’IOC basé sur nos activités exclusives.
- des notes et rapports de renseignements sur les menaces, conformes à la norme TIP.
- Surveillance des risques numériques :
- détection et correction des fuites de données
- surveillance de la sécurité des actifs externes (EASM)
- protection de la marque
Pour plus d’informations, rendez-vous sur intrinsec.com/en/cyber-threat-intelligence/.
