La s\u00e9curit\u00e9 du mot de passe est seulement aussi forte que le mot de passe lui-m\u00eame. Malheureusement, on nous rappelle souvent le danger des mots de passe faibles, r\u00e9utilis\u00e9s et compromis avec des failles de cybers\u00e9curit\u00e9 majeures qui commencent par des informations d’identification vol\u00e9es. Par exemple, en mai 2022, le site de planification de mariage populaire, Zola, a \u00e9t\u00e9 victime d’une importante faille de cybers\u00e9curit\u00e9 o\u00f9 des pirates ont utilis\u00e9 une attaque connue sous le nom de bourrage d’informations d’identification<\/em>. Il en est r\u00e9sult\u00e9 une activit\u00e9 frauduleuse li\u00e9e aux comptes clients. Examinons la violation de Zola et pourquoi elle met l’accent sur la n\u00e9cessit\u00e9 pour les organisations de renforcer la s\u00e9curit\u00e9 de leur mot de passe et de se prot\u00e9ger contre divers types d’attaques par mot de passe.<\/p>\n Au lieu de s’attaquer \u00e0 l’infrastructure essentielle de Zola, les pirates se sont attaqu\u00e9s aux comptes clients avec l’attaque de mai. Les attaquants ont utilis\u00e9 une technique s\u00e9culaire appel\u00e9e bourrage d’informations d’identification<\/em> compromettre plusieurs comptes clients Zola. Ayant acc\u00e8s aux comptes compromis, ils ont tent\u00e9 d’acheter des ch\u00e8ques-cadeaux qu’ils pourraient ensuite utiliser. <\/p>\n Un porte-parole de Zola a mentionn\u00e9 que environ 3 000 comptes<\/a>, soit environ 0,1\u00a0% des comptes Zola, ont \u00e9t\u00e9 pirat\u00e9s. Les utilisateurs ont vu des centaines de dollars de cartes-cadeaux ou de cadeaux mon\u00e9taires pr\u00e9lev\u00e9s sur leurs comptes. Les pirates ont m\u00eame modifi\u00e9 l’e-mail associ\u00e9 aux comptes Zola des utilisateurs dans de nombreux cas, les emp\u00eachant de se connecter. Les comptes Zola compromis ont \u00e9t\u00e9 rapidement mis en vente sur le dark web. D’autres utilisateurs ont signal\u00e9 des frais frauduleux sur des cartes de cr\u00e9dit associ\u00e9es \u00e0 des comptes Zola.<\/p>\n Emily Forrest, directrice des communications de Zola, a mentionn\u00e9 ce qui suit dans un rapport<\/a> concernant le compromis :<\/p>\n “Ces pirates ont probablement eu acc\u00e8s \u00e0 ces informations d’identification expos\u00e9es sur des sites tiers et les ont utilis\u00e9es pour essayer de se connecter \u00e0 Zola et prendre de mauvaises mesures. Notre \u00e9quipe est imm\u00e9diatement intervenue pour s’assurer que tous les couples et invit\u00e9s de Zola sont prot\u00e9g\u00e9s\u2026 Nous comprenons la perturbation et le stress que cela a caus\u00e9 \u00e0 certains de nos couples, mais nous sommes heureux d’annoncer que toutes les tentatives frauduleuses de transfert de fonds en esp\u00e8ces ont \u00e9t\u00e9 bloqu\u00e9es. Tous les fonds en esp\u00e8ces ont \u00e9t\u00e9 r\u00e9tablis. <\/em><\/p>\n Dans le cadre de leur rem\u00e9diation de l’attaque, Zola, en plus d’obliger les utilisateurs \u00e0 r\u00e9initialiser les mots de passe de leur compte, a temporairement d\u00e9sactiv\u00e9 les applications mobiles connect\u00e9es \u00e0 la plate-forme. Ils ont depuis r\u00e9activ\u00e9 les plateformes d’applications mobiles. Cependant, m\u00eame si Zola permet de connecter les informations de compte bancaire aux comptes Zola, ils ne n\u00e9cessitent toujours pas d’authentification multifacteur<\/a> dans le cadre de leurs dispositions de s\u00e9curit\u00e9.<\/p>\n Le recul est souvent de 20\/20 lorsqu’il s’agit d’analyse post-mortem des failles de cybers\u00e9curit\u00e9. Cependant, de nombreuses choses auraient pu \u00eatre faites et peuvent \u00eatre faites \u00e0 l’avenir pour emp\u00eacher que des attaques comme le piratage de Zola ne soient men\u00e9es. <\/p>\n De plus en plus d’entreprises exigent d\u00e9sormais que l’authentification multifacteur soit activ\u00e9e sur votre compte pour profiter de leurs services. On peut dire que tout service visant \u00e0 collecter de l’argent sur un compte ou qui permet de connecter un compte bancaire ou une carte de cr\u00e9dit devrait n\u00e9cessiter plusieurs facteurs. Avec le multifacteur activ\u00e9, m\u00eame si un attaquant dispose d’informations d’identification l\u00e9gitimes, telles qu’un nom d’utilisateur et un mot de passe, avec un facteur suppl\u00e9mentaire requis, il n’a toujours pas tout ce dont il a besoin pour s’authentifier et se connecter. <\/p>\n L’attaque contre Zola aide \u00e0 souligner que les entreprises doivent \u00e9galement surveiller les comptes pour les activit\u00e9s suspectes. Par exemple, la surveillance des g\u00e9olocalisations suspectes, le nombre de connexions \u00e0 partir d’une source unique ou d’autres mesures peuvent aider \u00e0 identifier et \u00e0 corriger les activit\u00e9s n\u00e9fastes.<\/p>\n Le credential stuffing est une technique de piratage qui existe depuis longtemps et qui joue sur la faiblesse de r\u00e9utilisation du mot de passe<\/em> parmi les utilisateurs finaux. Il est d\u00e9fini comme<\/a> la injection automatis\u00e9e du nom d’utilisateur et du mot de passe vol\u00e9s <\/em>paires. Qu’est-ce que \u00e7a veut dire? Il est dans la nature humaine de r\u00e9utiliser les mots de passe sur plusieurs sites, services et applications. Cette technique facilite la m\u00e9morisation des connexions sur diff\u00e9rentes plates-formes. Les pirates utilisent cette logique pour d\u00e9jouer l’authentification par mot de passe utilis\u00e9e sur la plupart des plates-formes. S’ils compromettent ou trouvent des informations d’identification divulgu\u00e9es associ\u00e9es \u00e0 une combinaison utilisateur\/e-mail\/mot de passe sur une plate-forme, ils peuvent essayer les m\u00eames informations d’identification sur plusieurs plates-formes. <\/p>\n Cela peut \u00eatre efficace m\u00eame s’ils ne savent pas que l’utilisateur\/l’adresse e-mail est associ\u00e9e \u00e0 un compte. Par exemple, supposons qu’ils puissent acc\u00e9der \u00e0 plusieurs ensembles d’informations d’identification compromises (noms d’utilisateur, mots de passe). Dans ce cas, ils trouveront probablement des comptes d’utilisateurs valides sur plusieurs services o\u00f9 les utilisateurs ont utilis\u00e9 la m\u00eame combinaison nom d’utilisateur\/mot de passe.<\/p>\nQue s’est-il pass\u00e9 avec l’attaque de Zola ?<\/h2>\n
Qu’est-ce qui n’a pas fonctionn\u00e9 du point de vue de la s\u00e9curit\u00e9 avec l’attaque de Zola\u00a0?<\/h2>\n
Qu’est-ce que le credential stuffing ?<\/h2>\n
![\"Politique](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660215458_124_Ce-que-le-Zola-Hack-peut-nous-apprendre-sur-la.jpg\" "\\"Politique")
<\/td>\n<\/tr>\n![\"Politique](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660215458_628_Ce-que-le-Zola-Hack-peut-nous-apprendre-sur-la.jpg\" "\\"Politique")
<\/td>\n<\/tr>\n