Lorsqu'il s'agit de protéger votre identité numérique, il peut être difficile de savoir contre quoi vous vous défendez. Les cibles, les victimes et les techniques des attaquants varient considérablement, et cette incertitude n'a fait que croître à mesure que des acteurs malveillants profitent du chaos du COVID-19 pour voler toutes les informations sur lesquelles ils peuvent mettre la main. Cela dit, la seule certitude que nous ayons est que le vol et l'utilisation abusive d'identifiants en ligne sont impliqués dans près de 81 % des violations liées aux pirates, ce qui en fait l'une des attaques les plus courantes. le plus courant au monde. À propos de l'auteur Nic Sarginson est ingénieur principal en solutions pour UKI et RSA chez Yubico
Les clés du château
Une fois qu'un cybercriminel a les informations d'identification de quelqu'un, il dispose des outils nécessaires pour déverrouiller l'identité numérique complète de sa victime. Donc, si les dommages potentiels sont si importants, pourquoi ces informations d'identification sont-elles si faciles à voler ? mots de passe faiblesLes attaquants essaient des mots de passe communs avec des noms d'utilisateur spécifiques ou communs, et peuvent être étonnamment efficaces. Malheureusement, la plupart des gens ont du mal à créer ou à mémoriser des mots de passe forts. En conséquence, les gens choisissent souvent des mots de passe faibles et les changent rarement. En fait, des recherches récentes ont révélé qu'un mot de passe sur 142 est "123456" et que 23,5 millions de comptes piratés ont utilisé "123456" comme mot de passe. Abus de réutilisation de mot de passe (credential stuffing)
Les attaquants prennent régulièrement des informations d'identification volées sur un site et les essaient sur un autre, car il est très courant que les gens utilisent la même combinaison nom d'utilisateur et mot de passe, ou une variante, sur plusieurs sites. . En fait, plus de 44 millions de titulaires de compte Microsoft utilisent des mots de passe recyclés ! Ce problème est aggravé par le volume considérable d'informations d'identification volées disponibles à la vente sur le dark web. Attaques de l'homme du milieu (MitM)
Parfois, les attaquants accèdent au chemin réseau entre l'ordinateur de leur victime et le site auquel ils accèdent. Cela peut permettre à l'attaquant de voir à quels sites quelqu'un accède et de voler ses données si la connexion n'est pas cryptée ou si la victime pense que le site ou le système malveillant est légitime. Usurpation d'identité
Le phishing utilise généralement un prétexte pour convaincre quelqu'un de révéler directement ses informations d'identification ou de visiter un site qui fait la même chose. Les attaquants le font en vérifiant par SMS, e-mail, téléphone, messagerie instantanée, médias sociaux, sites de rencontres, courrier physique ou tout autre moyen disponible. Opération de récupération de compte
Malheureusement, les flux de récupération de compte peuvent être beaucoup plus faibles que le canal d'authentification principal. Par exemple, il est courant que les entreprises mettent en œuvre des solutions d'authentification forte à deux facteurs (2FA) comme méthode principale pour laisser les SMS en tant que sauvegarde. Alternativement, les entreprises peuvent simplement autoriser le personnel du service d'assistance à réinitialiser les informations d'identification ou à définir des codes de référence temporaires avec un simple appel téléphonique et avec peu ou pas d'exigences de vérification d'identité.
Défendez votre domaine
Une fois que vous avez reconnu ces méthodes de vol d'informations d'identification, vous pouvez commencer à identifier comment les mauvais acteurs peuvent facilement accéder à votre identité numérique. Voici quelques étapes simples que vous pouvez commencer à suivre dès aujourd'hui pour arrêter ces méthodes de vol d'informations d'identification : Gérez correctement vos mots de passeIl est important d'être aussi diligent que possible pour créer les mots de passe les plus forts et les gérer en toute sécurité. Idéalement, les mots de passe forts devraient être générés de manière aléatoire. À tout le moins, évitez d'utiliser des informations sur vous-même ou sur vos amis et votre famille, telles que les anniversaires, les équipes sportives, les noms d'animaux, etc. Ne réutilisez jamais les mots de passe entre les sites. Oui, cela signifie que vous aurez besoin d'un mot de passe différent pour chaque compte que vous possédez. Comme bonne pratique, utilisez un gestionnaire de mots de passe pour générer et stocker en toute sécurité des mots de passe. Utiliser l'authentification à deux facteurs (2FA)
Même les noms d'utilisateur et les mots de passe les plus sûrs sont sujets à compromis. Pour éviter cela, activez toujours 2FA dans la mesure du possible pour vous assurer qu'une autre forme d'identité, au-delà d'un nom d'utilisateur et d'un mot de passe, est requise pour accéder à votre compte. Quoi que vous fassiez, n'activez pas les codes SMS comme seconde forme d'authentification. Le National Institute of Standards and Technology (NIST) les a récemment rendus très inefficaces. Bien que certains services nécessitent l'utilisation de SMS pour configurer initialement 2FA, vous pouvez choisir de désactiver les SMS après avoir configuré d'autres facteurs, tels que les clés de sécurité. Vérifiez avant de cliquer
Pour vous protéger contre le phishing par e-mail, assurez-vous qu'un e-mail est légitime en vous demandant : Reconnaissez-vous l'adresse e-mail ? Y a-t-il des fautes d'orthographe dans l'e-mail ? Le lien ou l'attachement a-t-il un sens ? En ce qui concerne les sites Web et les liens, vérifiez la sécurité HTTPS, qui indique que la page Web sur laquelle vous vous trouvez est sûre et digne de confiance avant de saisir des informations sensibles. HTTPS apparaîtra dans l'URL et la barre affichera également un petit cadenas indiquant "sécurisé" à côté. De plus, votre banque ne vous enverra pas d'e-mail avec un lien de réinitialisation de mot de passe, utilisez toujours votre application bancaire mobile officielle ou assurez-vous d'aller directement sur le site Web de la banque. Méfiez-vous des réseaux
Le Wi-Fi public n'est pas considéré comme un réseau sécurisé et donne donc aux pirates un plus grand avantage pour voler des informations ou mener des attaques malveillantes. Si vous devez utiliser le Wi-Fi public, restez sur les sites qui ne traitent pas les informations sensibles. Dans la mesure du possible, évitez toujours les réseaux Wi-Fi publics et utilisez d'autres solutions, telles qu'un point d'accès personnel sécurisé ou une solution VPN. Un VPN rendra difficile pour les tiers de déterminer votre identité ou votre emplacement. Cependant, alors que le monde s'adapte au travail à domicile, un nombre record de personnes utilisent un VPN pour accéder au réseau de l'entreprise, les mettant à l'épreuve. Vous pouvez également sécuriser l'accès VPN avec MFA pour vous assurer que vos informations personnelles et professionnelles sont protégées. Ne divulguez pas d'informations sensibles Toute information peut faciliter le travail d'un pirate informatique. Cela peut sembler évident, mais à l'ère des médias sociaux, ne mettez aucune information sur vos profils publics que vous ne donneriez pas à un étranger. Avec COVID-19, ce qui signifie que plus de personnes travaillent à domicile, il y a une plus grande tentation de remplir cette publication sur la chaîne Facebook qui comprend la révélation de votre lieu de naissance et de votre premier animal de compagnie. En fait, le National Cyber Security Center a récemment lancé une nouvelle campagne pour se protéger contre de telles menaces.