Le hack récent d’Uber a montré une fois de plus que les systèmes d’authentification à plusieurs facteurs ne sont pas toujours efficaces pour contrer les cybercriminels, qui usent de nouvelles techniques pour tenter de vous piéger.
On ne le dira jamais assez : il est indispensable d’utiliser l’authentification à plusieurs facteurs sur tous les services en ligne qui la proposent. Pour rappel, cette solution -un tantinet plus contraignante, il est vrai- consiste à créer un second verrou qui limite radicalement les possibilités de piratage de votre compte, par le biais d’une application, d’un SMS ou d’une clé de sécurité.
Ainsi, même si un cybercriminel parvient à récupérer votre mot de passe d’une façon ou d’une autre, il fera face à ce second mur, qu’il est beaucoup plus difficile de franchir pour accéder à votre compte.
« MFA fatigue », une technique brutale, mais efficace
Plus difficile, mais malheureusement pas impossible, comme le montre le piratage récent d’Uber. Le hacker du géant du VTC a en effet réussi à contourner la double authentification qui était pourtant activée sur le smartphone du prestataire qu’il a pris pour cible.
Et sa technique a été pour le moins cavalière. Il est d’abord parvenu à récupérer son mot de passe, qu’il aurait acquis sur un forum louche du Dark Web. Il lui a fallu ensuite contourner la protection du second facteur d’authentification. Pour cela, il n’a pas fait dans la dentelle : il a tout simplement « spammé » sa victime de demandes de connexion : le prestataire les recevait « à la chaîne » sur son mobile, sans doute par le biais d’une application comme Microsoft Authenticator. Le prestataire d’Uber a plusieurs fois refusé ses demandes, mais, sans doute par inattention ou par lassitude de voir toutes ces notifications apparaître, a fini par en approuver une… et a ainsi donné les clés de son compte au pirate.
Cette technique, bien que peu élaborée, est en plein essor. Microsoft, qui a communiqué dans la foulée du piratage d’Uber, montre que le « spam » de demandes MFA (pour Multi Factor Authentication) par des cybercriminels est en progression depuis quelques mois. Et prend des mesures dans la foulée pour tenter de limiter la casse.
Ainsi, Authenticator obligera bientôt tous les utilisateurs à entrer un code apparaissant sur l’appareil qui a sollicité l’authentification. Impossible, de cette manière, de valider la connexion par inadvertance… tout en compliquant la tâche du pirate en même temps. Authenticator présentera par ailleurs une carte montrant d’où provient la demande, afin de repérer plus facilement une demande douteuse.
Le phishing n’a pas dit son dernier mot
La « MFA fatigue » n’est pas le seul moyen de contourner l’authentification à double facteur. Et il existe désormais des solutions « clés en main » qui offrent à des cybercriminels le moyen de vous piéger beaucoup plus aisément.
C’est notamment le cas d’EvilProxy, dont nous vous parlions il y a quelques semaines. Ce service de phishing, proposé par abonnement sur de nombreux forums fréquentés par les cybercriminels, est diablement malin : il fait office de passerelle entre vous et un service légitime, comme ceux de Google, Microsoft ou Facebook, par exemple.
Vous entrez votre mot de passe puis votre second facteur d’authentification sur un site qui ressemble comme deux gouttes d’eau au vrai… Mais il s’agit évidemment d’une fausse page Web. En coulisse, EvilProxy va communiquer avec le véritable site, en récupérant tout le trafic et au passage vos données de connexion.
Pour vous protéger contre cette attaque, les bonnes vieilles techniques restent à l’ordre du jour : vérifiez toujours l’adresse du site avant d’y entrer vos informations d’identification, et assurez-vous qu’il est légitime.
Les méthodes des cybercriminels pour détourner l’authentification à double facteur montrent en tout cas une chose : il est temps d’en finir avec les mots de passe et leur sécurité défaillante, que le MFA est loin de corriger complètement. Heureusement, ça bouge enfin. Google, Apple, Microsoft ont tous embrassé la norme Multi-Device Fido, qui devrait bientôt nous offrir – en tout cas sur de nombreux services populaires – un système d’authentification à la fois plus simple et plus sécurisé, qui nous protégera des tentatives de phishing et des vols de mot de passe. Il est temps.