Que faut-il faire pour protéger votre compte Google contre le vol

La société Google a publié de recherche «À quel point l'hygiène de base des comptes est efficace pour prévenir leur vol» sur ce que peut faire un propriétaire de compte pour éviter qu'il ne soit volé par des malfaiteurs. Nous vous présentons ici la traduction de cette étude.
Cependant, le moyen le plus efficace utilisé par Google lui-même n'a pas été inclus dans le rapport. J'ai donc dû écrire sur cette méthode à la fin.

Chaque jour, nous protégeons les utilisateurs contre des centaines de milliers de tentatives de piratage de comptes. La majorité des attaques provient de bots automatisés ayant accès à des systèmes tiers de piratage de mots de passe, mais il existe également des attaques de phishing et ciblées. Auparavant, nous avons expliqué comment cinq étapes simples, comme l'ajout d'un numéro de téléphone, peuvent vous aider à vous protéger, mais maintenant nous voulons le prouver par la pratique.

Une attaque de phishing est une tentative de tromper un utilisateur de manière à ce qu'il transmette volontairement des informations au malfaiteur, qui seront utiles dans le processus de piratage. Par exemple, en copiant l'interface d'une application légale.

Les attaques par bots automatisés sont des tentatives massives de piratage non ciblées sur des utilisateurs spécifiques. Elles sont généralement réalisées à l'aide de logiciels accessibles publiquement et sont utilisables même par des 'pirates' non qualifiés. Les malfaiteurs ne connaissent rien des particularités des utilisateurs spécifiques — ils lancent simplement le programme et 'capturent' tous les comptes mal protégés autour.

Les attaques ciblées sont des piratages de comptes spécifiques, où des informations supplémentaires sur chaque compte et son propriétaire sont collectées, avec des tentatives possibles de capture et d'analyse du trafic, ainsi que l'utilisation d'outils de piratage plus complexes.

(Note du traducteur)

Nous nous sommes associés à des chercheurs de l'Université de New York et de l'Université de Californie pour déterminer à quel point l'hygiène de base des comptes est efficace pour prévenir leur 'vol'.

Une étude annuelle sur des attaques ciblées à grande échelle et a été présentée mercredi lors d'une réunion d'experts, de décideurs politiques et d'utilisateurs appelée The Web Conference The Web Conference.
Nos recherches montrent qu'ajouter simplement un numéro de téléphone à votre compte Google peut bloquer jusqu'à 100 % des attaques par bots automatiques, 99 % des attaques de phishing en masse et 66 % des attaques ciblées observées durant notre enquête.

Protection proactive automatique de Google contre le « piratage » de compte

Nous mettons en œuvre une protection proactive automatique pour mieux sécuriser tous nos utilisateurs contre le piratage de compte. Voici comment cela fonctionne : si nous détectons une tentative de connexion suspecte (par exemple, depuis un nouvel emplacement ou appareil), nous demanderons des preuves supplémentaires que c'est bien vous. Cette confirmation peut être le contrôle de l'accès à un téléphone de confiance, ou la réponse à une question dont vous seul connaissez la bonne réponse.

Si vous êtes connecté à votre téléphone ou si vous avez indiqué un numéro de téléphone dans les paramètres de votre compte, nous pouvons offrir le même niveau de protection que celui de la vérification en deux étapes. Nous avons constaté que le code SMS envoyé au numéro de téléphone de récupération a aidé à bloquer 100 % des bots automatiques, 96 % des attaques de phishing en masse et 76 % des attaques ciblées. De plus, les demandes sur l'appareil pour confirmer l'opération, qui sont un remplacement plus sûr des SMS, ont aidé à prévenir 100 % des bots automatiques, 99 % des attaques de phishing en masse et 90 % des attaques ciblées.

La protection, basée à la fois sur la possession de dispositifs spécifiques et sur la connaissance de certains faits, aide à lutter contre les bots automatiques, tandis que la protection, fondée sur la possession de dispositifs spécifiques, vise à prévenir le phishing et même les attaques ciblées.

Si vous n'avez pas configuré de numéro de téléphone dans votre compte, nous pouvons recourir à des méthodes de protection plus faibles, basées sur vos connaissances, telles que l'emplacement de votre dernière connexion au compte. Cela fonctionne bien contre les bots, mais le niveau de protection contre le phishing peut tomber à 10 %, et pour les attaques ciblées, la protection est pratiquement inexistante. Cela est dû au fait que les pages de phishing et les malfaiteurs lors des attaques ciblées peuvent vous amener à divulguer toute information supplémentaire que Google pourrait demander pour vérification.

Étant donné les avantages d'une telle protection, on pourrait se demander pourquoi nous ne l'exigeons pas pour chaque connexion. La réponse réside dans le fait que cela compliquerait la vie des utilisateurs (surtout pour ceux qui ne sont pas préparés — note du trad..) et augmenterait le risque de blocage de compte. Lors d'une expérience, nous avons constaté que 38 % des utilisateurs n'avaient pas accès à leur téléphone lors de la connexion à leur compte. De plus, 34 % des utilisateurs n'ont pas pu se souvenir de leur adresse e-mail secondaire.

Si vous avez perdu l'accès à votre téléphone ou ne pouvez pas vous connecter, vous pouvez toujours revenir à un appareil de confiance à partir duquel vous vous êtes précédemment connecté pour accéder à votre compte.

Comprendre les attaques de « hack par commande »

Là où la plupart des moyens de protection automatiques bloquent la majorité des bots et des attaques de phishing, les attaques ciblées deviennent plus nuisibles. Dans le cadre de nos efforts continus en matière de surveillance des menaces de piratage, nous identifions en permanence de nouveaux groupes criminels de « hack par commande » qui demandent en moyenne 750 dollars pour pirater un compte. Ces malfaiteurs s'appuient souvent sur des e-mails de phishing se faisant passer pour des membres de la famille, des collègues, des fonctionnaires gouvernementaux ou même Google. Si la cible ne cède pas lors de la première tentative de phishing, les attaques suivantes se poursuivent pendant plus d'un mois.

Exemple d'une attaque de phishing de type « homme du milieu », qui vérifie le mot de passe en temps réel. Après cela, les victimes se voient demander d'entrer des codes de vérification par SMS pour accéder au compte de la victime.

Selon nos estimations, un utilisateur sur un million court un risque aussi élevé. Les malfaiteurs ne ciblent pas les personnes au hasard. Bien que les études montrent que notre protection automatique peut aider à retarder et même à prévenir jusqu'à 66 % des attaques ciblées que nous avons examinées, nous recommandons toujours aux utilisateurs à haut risque de s'inscrire dans notre programme de protection supplémentaire. Comme nous l'avons noté lors de notre enquête, les utilisateurs qui n'utilisent que des clés de sécurité (c'est-à-dire — l'authentification en deux étapes avec des codes envoyés aux utilisateurs — n.d.l.r.), ont été victimes de phishing ciblé.

Prenez un peu de temps pour sécuriser votre compte

Vous attachez des ceintures de sécurité pour protéger votre vie et votre santé lors des trajets en voiture. Et avec nos cinq conseils , vous pourrez sécuriser votre compte.

Comme nos recherches le montrent, l'une des choses les plus simples que vous pouvez faire pour protéger votre compte Google est de fournir un numéro de téléphone. Pour les utilisateurs à haut risque, tels que les journalistes, les militants, les dirigeants d'entreprises et les équipes de campagne politique, notre programme Advanced Protection aidera à garantir le plus haut niveau de sécurité. Vous pouvez également protéger vos comptes de services tiers (non Google) contre les piratages de mots de passe en installant l'extension Chrome Password Checkup.

Il est intéressant de noter que Google ne suit pas les conseils qu'il donne lui-même à ses utilisateurs. Google utilise des jetons matériels pour l'authentification à deux facteurs de plus de 85 000 de ses employés. Selon les représentants de la société, depuis le début de l'utilisation de ces jetons matériels, aucun vol de compte n'a été signalé. Comparez cela avec les chiffres présentés dans ce rapport. Il est donc clair que l'utilisation de jetons matériels pour l'authentification à deux facteurs est le seul moyen fiable de protection tant des comptes que des informations (et dans certains cas, même de l'argent). Pour sécuriser les comptes Google, des jetons conformes à la norme FIDO U2F sont utilisés, par exemple

tel . Et pour l'authentification à deux facteurs dans les systèmes d'exploitation Windows, Linux et MacOS, desjetons cryptographiques Pourquoi les ingénieurs ne se soucient-ils pas de la surveillance des applications ?.

(Note du traducteur)

Source : habr.com