Lumières sur la sécurité

mercredi 22 juin 2016

Aujourd'hui, les banques et d'autres entreprises qui offrent des services en ligne utilisent activement l'authentification à deux facteurs, ou 2FA afin d'améliorer la sécurité.

L'authentification est le processus qui consiste à vérifier l'identité d'une personne qui essaie d'utiliser un service en ligne.

Lorsque l'authentification à deux facteurs est utilisée, il ne suffit pas de donner le nom d'utilisateur et le mot de passe (on suppose que seul l'utilisateur dispose de ces données, mais en réalité ce n'est pas toujours le cas). L’utilisateur doit fournir d'autres informations qui renforcent la probabilité que c’est bien lui qui souhaite se connecter au service auquel il a souscrit : par exemple, un numéro de téléphone mobile lié à son compte.

Un des types d’authentification à deux facteurs consiste à utiliser des mots de passe uniques envoyés par SMS sur un numéro lié au compte bancaire. Il est considéré que ce type de procédé renforce la protection de l'utilisateur de services de banque en ligne contre les cybercriminels.

Cependant, ce n'est malheureusement pas toujours le cas. Les cybercriminels ont appris à contourner cette protection.

Voici un des scénarios permettant de contourner la protection utilisant des mots de passe uniques

1. Un Trojan bancaire s’étant introduit dans un ordinateur est capable d'intégrer aux pages Web consultées du contenu malveillant, autrement dit, d'exécuter des injections Web.
2. Lorsque la victime tente de consulter la page de sa banque ou d’ouvrir la page dédiée au service bancaire, le Trojan, contrôlant cette page, remplace son contenu. A partir de ce moment-là, l’écran affiche un message informant que pour continuer à interagir avec le système banque-client, l'utilisateur doit télécharger et installer sur son téléphone mobile une application bancaire spécifique. L'apparence du site Web en question et de la page Web dans la barre d'adresse du navigateur reste inchangée et n’entraîne pas de soupçons.
3. La victime installe sur son Smartphone l'application téléchargée depuis le lien proposé tandis qu'en réalité cette application est un Trojan bancaire mobile.
4. Le Trojan (l’appli téléchargée) intercepte les SMS envoyés par le système banque-client et contenant des mots de passe uniques, et il les transmet aux pirates, tandis que le Trojan tournant sur l'ordinateur utilise ces mots de passe pour voler de l'argent sur le compte de l'utilisateur.