Un problème de sécurité majeur de mot de passe affecte 44 millions d’utilisateurs d’après une analyse de l’équipe de sécurité de Microsoft

Un problème de sécurité majeur de mot de passe affecte 44 millions d’utilisateurs d’après une analyse de l’équipe de sécurité de Microsoft

Après avoir analysé une base de données provenant de plusieurs sources publiquement accessibles et contenant plus de 3 milliards de comptes compromis, l’équipe de recherche sur les menaces de Microsoft a déterminé que plus de 44 millions de comptes utilisateurs avaient un grave problème de sécurité.

Ce bulletin vous est partagé gratuitement par le CERT-XMCO dans le cadre de son service de Veille. Découvrez en détail ce service sur xmco.fr et testez-le gratuitement et sans engagement sur leportail.xmco.fr.

L’étude de l’ensemble des données d’authentification a permis à l’équipe de recherche de lister les mots de passe les plus fréquemment utilisés, et donc ceux qui présentent les risques de réutilisation les plus importants. Elle a également effectué une recherche croisée avec l’écosystème utilisateur Microsoft. Au cours du premier trimestre 2019, Microsoft a déterminé que plus de 44 millions de comptes (dont Microsoft Azure et Microsoft Services) utilisaient les mêmes mots de passe que ceux trouvés au sein des bases de données compromises.

Un rapport publié par Microsoft avertit les utilisateurs des risques liés aux attaques appelées « attaque par rejeu des comptes compromis » (breach replay attacks ou encore credentials stuffing). Ce type d’attaque est employé par des acteurs malveillants qui essaient les mêmes identifiants compromis sur différents services afin de s’y connecter.

« Ce type d’attaque est de plus en plus courant », selon Eoin Keary, PDG d’Edgescan, qui a déclaré : « il parie sur l’habitude répandue des utilisateurs à réutiliser leurs mots de passe ».

Concernant les fuites d’informations découvertes au cours de cette analyse, Microsoft a confirmé que les consommateurs ne devaient « prendre aucune mesure supplémentaire », car l’éditeur avait déjà forcé une réinitialisation des mots de passe. Pour les utilisateurs professionnels, Microsoft a déclaré qu’ils alerteraient les administrateurs pour s’assurer qu’une réinitialisation des informations d’identification est appliquée.


Références

Microsoft Security Intelligence Report
Microsoft Security: Password Problem Affecting 44 Million Users Revealed

Référence XMCO

CXN-2019-5614


Arthur Gautier