L'attaque par dictionnaire : craquer les mots de passe à l'aide de mots courants

Une attaque par dictionnaire est une méthode employée par les pirates pour s'introduire dans des comptes d'utilisateurs en saisissant systématiquement chaque mot d'une liste préétablie de mots courants et de combinaisons populaires que les gens choisissent souvent comme mots de passe. Malgré les progrès des protocoles de sécurité et la sensibilisation continue à la création de mots de passe robustes, les attaques par dictionnaire demeurent une menace redoutable.

Tant que les utilisateurs privilégieront la commodité au détriment de la complexité dans leurs mots de passe, les attaques par dictionnaire auront des chances d'aboutir. Cet article explique en détail ce que sont les attaques par dictionnaire et comment elles fonctionnent, précise en quoi elles diffèrent des attaques par force brute, puis passe en revue des exemples récents, des cas d'utilisation et des statistiques pertinentes qui témoignent de l'ampleur de la menace. Il se termine par quelques pratiques exemplaires pour prévenir les attaques par dictionnaire.

Qu'est-ce qu'une attaque par dictionnaire ?

Une attaque par dictionnaire est une approche méthodique qui exploite la propension des gens à choisir des mots de passe faciles à retenir, souvent composés de mots et d'expressions courants. On peut voir l'attaque par dictionnaire comme une forme de devinette éclairée. Le processus s'apparente au feuilletage d'un véritable dictionnaire, mais au lieu de lettres et de chiffres aléatoires, les attaquants utilisent une liste — semblable à un dictionnaire linguistique — qui contient les mots de passe fréquemment utilisés et leurs variantes, y compris ceux provenant de brèches antérieures.

Un simple coup d'œil aux mots de passe les plus courants relevés dans un échantillon de 15 milliards en 2023 place 123456, 123456789, qwerty, et password aux quatre premiers rangs. Cela explique à lui seul le succès persistant des attaques par dictionnaire. Le script ou l'outil de l'attaquant teste méthodiquement chaque « mot » de la liste du dictionnaire dans le champ de mot de passe d'un utilisateur afin d'obtenir un accès non autorisé.

Les attaques par dictionnaire peuvent être remarquablement efficaces, surtout lorsqu'elles visent des comptes en masse ou des comptes dépourvus de mesures de protection comme le verrouillage de compte ou l'authentification à deux facteurs. Leur simplicité et leur rapidité sont des caractéristiques distinctives qui les rendent attrayantes pour les cybercriminels, lesquels cherchent généralement les cibles les plus faciles et la voie la plus rapide vers leurs objectifs.

Attaques par dictionnaire et attaques par force brute

Les attaques par dictionnaire et les attaques par force brute sont deux méthodes répandues pour craquer des mots de passe, mais il ne faut pas les confondre, car il ne s'agit pas de la même chose.

Les attaques par dictionnaire reposent sur une méthode ciblée : l'attaquant se sert d'une liste de mots de passe potentiels. Les attaques par force brute, elles, ne s'appuient sur aucune liste préétablie et essaient plutôt toutes les combinaisons de caractères possibles jusqu'à trouver la bonne.

Les attaques par dictionnaire sont généralement plus rapides et plus efficaces que les attaques par force brute. Cette méthode exige moins de ressources en puissance de calcul, puisque l'outil ou le logiciel choisi ne doit essayer qu'un ensemble limité de possibilités reconnues comme plus courantes. Les attaques par force brute, pour leur part, ont l'avantage d'être exhaustives et de ne pas dépendre fortement des choix de mots de passe des utilisateurs.

Du côté des inconvénients, les deux types d'attaques subissent le même sort devant des mots de passe longs et complexes, mais pour des raisons différentes. Les attaques par dictionnaire ne fonctionnent pas lorsque les utilisateurs optent pour des mots de passe longs et complexes qui ont extrêmement peu de chances de figurer dans une liste de mots de passe potentiels. Les attaques par force brute, quant à elles, exigent une puissance de calcul considérable, ce qui les rend impraticables contre des mots de passe longs et complexes.

Les attaques par dictionnaire donnent leurs meilleurs résultats contre les systèmes dont les exigences de choix de mots de passe sont peu strictes et contre les utilisateurs peu sensibilisés à la sécurité. Elles sont également efficaces lorsqu'on dispose de renseignements connus sur l'utilisateur qui pourraient suggérer des mots de passe possibles (noms d'animaux de compagnie, dates de naissance, etc.). Les attaques par force brute conviennent plutôt aux cas où le mot de passe a peu de chances d'être un mot ou une expression courante figurant dans une liste de dictionnaire.

Comment fonctionnent les attaques par dictionnaire

Mener une attaque par dictionnaire contre des mots de passe suppose quelques étapes structurées. Voici le déroulement du processus :

1. Constituer une liste de mots

Les acteurs malveillants commencent souvent par récupérer en ligne, à diverses sources, des mots de passe couramment utilisés : brèches publiques, fuites de mots de passe et palmarès de mots de passe répandus. Certains pirates avertis personnalisent ensuite la liste en fonction de ce qu'ils savent de leur ou de leurs cibles : centres d'intérêt, habitudes, données démographiques ou renseignements personnels. Des outils comme Crunch ou CeWL permettent de générer des listes de mots selon des critères sur mesure, ce qui s'avère très utile pour créer une liste plus ciblée.

1. Préparer l'attaque

Munis de leurs listes de dictionnaire, les attaquants choisissent ensuite un outil de craquage de mots de passe capable de mener des attaques par dictionnaire. Parmi les options populaires figurent John the Ripper, Hashcat et Hydra.

Un autre aspect important de la préparation consiste à acheminer le trafic par des serveurs mandataires ou un VPN afin d'éviter la détection. Certains acteurs malveillants recourent à des réseaux de zombies pour répartir une attaque par dictionnaire sur une multitude d'adresses IP différentes. Ces réseaux compliquent la détection et la prévention pour le système visé, puisqu'ils répartissent l'attaque sur des milliers d'adresses IP potentiellement contrôlées par le pirate.

Tester les mots de passe

C'est ici que se joue la réussite ou l'échec de l'attaque. Les pirates configurent l'outil choisi avec leurs listes de mots et précisent le compte ou le service ciblé. Cette étape consiste aussi à définir le protocole (HTTP, FTP ou SSH, par exemple), l'adresse IP ou l'URL de la cible, ainsi que le nom d'utilisateur à craquer.

Si l'un des mots de la liste du dictionnaire correspond au mot de passe du compte, l'outil de craquage affiche un message indiquant que la connexion a réussi. Il fournit alors à son utilisateur les identifiants qui ont fonctionné.

Cas d'utilisation et vulnérabilités

Les attaques par dictionnaire exploitent les faiblesses de la sécurité des mots de passe, et la compromission réussie de comptes d'utilisateurs peut entraîner toute une série de conséquences fâcheuses, dont des brèches de données. Voici quelques cas concrets qui illustrent pourquoi les pirates recourent aux attaques par dictionnaire.

Accès non autorisé aux courriels

Les pirates peuvent se servir d'une liste de mots de passe et d'expressions courants pour accéder à un compte de courriel, lequel servira ensuite à réinitialiser les mots de passe d'autres services, à intercepter des communications d'entreprise confidentielles ou à lancer des attaques d'hameçonnage ciblées en usurpant l'identité d'une personne. Si les services de courriel grand public populaires comme Gmail imposent des exigences strictes en matière de mots de passe, les comptes hébergés sur des services dont le renforcement de ces exigences dépend d'une configuration par un administrateur peuvent être plus vulnérables.

Compromission des identifiants bancaires en ligne

Les comptes bancaires en ligne sont des cibles de choix pour les attaques par dictionnaire, car y accéder peut procurer un gain financier immédiat. Une fois à l'intérieur, un attaquant peut transférer des fonds, recueillir des renseignements financiers ou voler des identités. Bien que de nombreuses banques imposent désormais l'authentification à deux facteurs pour la connexion, l'ingénierie sociale permet de contourner certains types d'authentification, comme les codes à usage unique. Fait intéressant, de nombreux services bancaires en ligne permettent encore aux utilisateurs de définir comme mot de passe des codes d'accès personnels simples et faciles à deviner.

Infiltration des réseaux d'entreprise

Les comptes d'utilisateurs en entreprise donnent souvent accès à une mine de renseignements et de privilèges. S'introduire dans un seul compte au moyen d'une attaque par dictionnaire peut constituer un tremplin vers une infiltration beaucoup plus vaste du réseau. Une fois à l'intérieur, les acteurs malveillants peuvent élever leurs privilèges d'accès, installer des menaces persistantes, voler des données sensibles ou lancer des attaques par rançongiciel.

Plusieurs vulnérabilités contribuent à exposer les entreprises et les personnes aux attaques par dictionnaire :

• L'absence d'application de politiques de mots de passe robustes permet aux utilisateurs de créer des mots de passe faibles et faciles à deviner.
• Les gens réutilisent souvent leurs mots de passe sur plusieurs comptes, ce qui accroît la vulnérabilité de différents services dès qu'un pirate s'introduit dans un seul compte (44 % des travailleurs réutilisent leurs mots de passe entre leurs comptes personnels et professionnels).
• De nombreux utilisateurs créent des mots de passe fondés sur des renseignements personnels ou des schémas courants, qui se retrouvent facilement dans les listes de dictionnaire.
• Les systèmes qui ne verrouillent pas les comptes après un certain nombre de tentatives infructueuses permettent aux attaquants d'essayer une multitude de combinaisons sans pénalité.
• Les comptes qui reposent uniquement sur des mots de passe pour l'authentification, sans étape de vérification supplémentaire, sont très vulnérables aux attaques par dictionnaire.

Exemples récents

Deux exemples récents éclairent davantage la prévalence persistante et la dangerosité des attaques par dictionnaire visant les mots de passe.

QNAP

QNAP, fournisseur populaire de dispositifs de stockage en réseau (NAS), a dû avertir les entreprises qu'un rançongiciel s'était infiltré avec succès dans ses produits en juillet 2022. Les dispositifs NAS exposés à Internet et dotés du protocole de partage de fichiers en réseau SMB étaient vulnérables aux attaques par dictionnaire visant des comptes d'utilisateurs aux mots de passe faibles. Après s'être introduits dans les comptes et les appareils, les acteurs malveillants ont installé une variante de rançongiciel nommée Checkmate sur les réseaux de certaines entreprises et chiffré des fichiers importants.

Piratages de serveurs Microsoft SQL

En septembre 2022, des chercheurs en sécurité ont mis en garde contre une vague d'attaques par rançongiciel visant les serveurs Microsoft SQL, qui font office de systèmes de gestion de bases de données pour de nombreuses entreprises. Ces attaques utilisaient la souche de rançongiciel FARGO, l'exploitation initiale découlant d'attaques par dictionnaire et par force brute contre des comptes d'utilisateurs du serveur dotés d'identifiants faibles.

Le taux de réussite des attaques par dictionnaire dépend réellement des vulnérabilités liées aux mots de passe présentes dans le système visé et de l'ensemble des utilisateurs de ce système. En l'absence de politiques strictes, les utilisateurs se rabattent sur des mots de passe faciles à craquer, que les listes de dictionnaire percent sans grand effort. S'il n'existe pas de taux de réussite universel pour ce type d'attaque, les exemples récents montrent qu'elles peuvent encore s'avérer relativement fructueuses contre des comptes et des systèmes mal sécurisés, surtout là où les utilisateurs n'appliquent pas une bonne hygiène des mots de passe.

Prévenir les attaques par dictionnaire

Voici quelques conseils et stratégies pratiques pour renforcer vos défenses de sécurité contre les intrusions découlant d'attaques par dictionnaire.

• Appliquez une politique de mots de passe rigoureuse qui exige un mélange de majuscules, de minuscules, de chiffres et de caractères spéciaux. N'en faites pas une option laissée au choix des employés : imposez-la pour tous les mots de passe de compte.
• Utilisez des gestionnaires de mots de passe capables de générer et de stocker de nombreux mots de passe complexes, longs et aléatoires. Ces outils libèrent les utilisateurs du fardeau de mémoriser chaque mot de passe unique et réduisent le risque de recourir à des mots de passe simples et faciles à retenir, vulnérables aux attaques par dictionnaire.
• Déployez la MFA partout où c'est possible. Même si un mot de passe est deviné, le facteur d'authentification supplémentaire — un code provenant d'une application d'authentification ou une empreinte digitale, par exemple — peut empêcher l'accès non autorisé.
• Mettez en place des politiques de verrouillage qui bloquent temporairement un compte après plusieurs tentatives de connexion infructueuses. Cela empêche les tentatives continues de devinette de mot de passe contre un même compte.
  ConclusionMalgré une sensibilisation croissante à l'importance d'une bonne hygiène des mots de passe, les attaques par dictionnaire demeurent une menace redoutable. Elles exploitent l'usage et la réutilisation persistants de mots de passe faibles et prévisibles, une vulnérabilité qui découle de la tendance naturelle des humains à privilégier la commodité plutôt que la complexité au moment de créer leurs mots de passe. Les personnes comme les organisations doivent donner la priorité à des mesures proactives : pratiques rigoureuses de sécurité des mots de passe, authentification multifacteur, gestionnaires de mots de passe et sensibilisation continue aux cybermenaces. Pour protéger pleinement vos comptes contre les attaques par dictionnaire, envisagez des solutions sans mot de passe. Multi-Pass de KZero Passwordless utilise un laissez-passer biométrique pour authentifier vos employés. Vous pouvez éliminer complètement les mots de passe et éviter d'agacer les utilisateurs avec des déploiements de MFA laborieux. L'accès en une seule touche, grâce à l'empreinte digitale unique de l'utilisateur, offre une authentification sans tracas et sans gestion de mots de passe. Apprenez-en davantage sur le passage à l'authentification sans mot de passe.

Ronan Mahony



Ronan Mahony est un rédacteur de contenu chevronné spécialisé dans les sujets liés à la cybersécurité. Doué pour vulgariser des sujets complexes en billets de blogue et en articles à la fois captivants et informatifs, Ronan s'emploie à rendre la cybersécurité accessible à un plus large public.