Journée mondiale du mot de passe : comment éviter les pièges des cybercriminels en 2025 ?
Chaque année, la Journée mondiale du mot de passe permet de rappeler l'importance pour les internautes et les entreprises de protéger leurs mots de passe et informations d'identification.
Elle permet aussi de suivre les meilleures pratiques en matière de sécurité. Prévue le 1er mai, l’édition 2025 n’échappe pas à la règle, d’autant plus que les attaques par phishing se professionnalisent et deviennent plus ciblées. A l’origine axé sur une meilleure hygiène des mots de passe, cet événement mondial doit désormais prendre en compte les nouvelles menaces et inciter les usagers à en faire de même.
Quelle méthode d’attaque pour le vol d’identifiants ?
Le vol d'identifiants reste une méthode d'attaque très prisée des cybercriminels : le vol de mots de passe représente ainsi 80% des violations d'applications en ligne aujourd'hui. Les attaquants cherchent à obtenir ces informations par le biais du phishing, de l'ingénierie sociale et d'autres techniques. Environ 63% des attaques par phishing ont pour cible notamment le vol d'identifiants. Ces données circulent ensuite librement en ligne et certaines peuvent être achetées pour seulement 10$. Les entreprises font ainsi face à de grands risques si les mots de passe ne sont pas correctement protégés. Les cybercriminels utilisent également des méthodes sophistiquées. Ils hébergent par exemple leurs sites malveillants sur des infrastructures d'entreprises légitimes. L'objectif est de dissimuler les tentatives de phishing et de donner une allure authentique aux sites malveillants. Ceci rend les campagnes de phishing plus convaincantes et plus difficiles à détecter. Les cybercriminels se servent ensuite des données volées pour accéder à des systèmes protégés ou à les vendre sur le dark web à d'autres acteurs malveillants. La compréhension de ces menaces est donc essentielle pour protéger les données des entreprises et minimiser les risques.
Pourquoi protéger les mots de passe ?
Les mots de passe représentent la première ligne de défense afin de protéger les systèmes des entreprises, les données financières et les données personnelles. Des mots de passe « faibles », réutilisés ou partagés augmentent sensiblement le risque de cyberattaques. Ceci inclut le phishing, le bourrage d’identifiant et les attaques par force brute. Le renforcement des mots de passe réduit le risque d’incidents coûteux, tels que les attaques par ransomware et les violations de données. Cependant, même les mots de passe les plus sûrs peuvent être compromis. Des mesures peuvent être néanmoins mises en place pour se protéger.
Quelles mesures de protection disponibles ?
Les entreprises peuvent et doivent mettre en place des garde-fous afin de prévenir le vol d’identifiants et leur stockage dans des lieux non protégés. Par exemple :
- L’authentification multifacteur (MFA) nécessite des utilisateurs qu’ils confirment leur identité par le biais de plusieurs méthodes, par exemple un code unique envoyé sur leur smartphone ou des données biométriques comme l’empreinte digitale. 40% des entreprises n’ont pas de solutions de MFA ou une solution faible, ce qui implique un manque de sécurité pour de nombreux appareils et comptes. La MFA permet de neutraliser les attaquants en fournissant une protection contre 88% des attaques par ransomware se produisant sur des comptes sans MFA. Elle réduit aussi la dépendance à l'égard des mots de passe pour la sécurité, en s'alignant sur les initiatives de réduction des mots de passe qui améliorent à la fois la sécurité et la facilité d'utilisation.
- La formation des collaborateurs représente l’une des meilleures lignes de défense contre le vol d’identifiants. Afin de minimiser l’erreur humaine, les entreprises doivent régulièrement mettre en place des programmes de formation sur la gestion des mots de passe, l’identification de tentatives de vol et l’utilisation de gestionnaires de mots de passe. Par ailleurs, des solutions avancées peuvent fournir une couche supplémentaire de protection en identifiant et bloquant les emails malveillants, avant qu’ils ne parviennent aux employés.