Attaque par force brute
Technique qui consiste à essayer automatiquement un très grand nombre de mots de passe ou de clés jusqu’à trouver le bon.
Définition complète
Une attaque par force brute consiste à tester de façon exhaustive un très grand nombre d’authentifiants (mots de passe, codes, clés) jusqu’à trouver celui qui ouvre l’accès. Réalisée par des programmes, elle peut essayer des dizaines de milliers de combinaisons par seconde.
Plusieurs variantes existent : l’essai de toutes les combinaisons possibles, l’attaque par dictionnaire (mots courants, prénoms, dates), la pulvérisation de mots de passe (quelques mots de passe très répandus testés sur de nombreux comptes pour éviter les blocages) ou le credential stuffing, qui utilise des identifiants déjà volés.
Les cibles typiques d’une PME sont les services exposés sur Internet : messagerie, accès à distance (RDP, VPN), interface d’administration d’un site web ou d’un pare-feu. La longueur et la complexité du mot de passe, la limitation des tentatives et la double authentification rendent ces attaques inopérantes.
Source : Cybermalveillance.gouv.fr, bien gérer ses mots de passe, ANSSI, CyberDico
Exemple concret
Un cabinet comptable a ouvert l’accès bureau à distance (RDP) de son serveur sur Internet pour le télétravail. Le compte « administrateur » a pour mot de passe le nom du cabinet suivi de l’année. Un robot tente des milliers de combinaisons pendant la nuit, trouve le bon mot de passe en quelques heures et installe un rançongiciel sur le serveur.
Comment se protéger
- Imposer des mots de passe longs (au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux) ou des phrases de passe.
- Activer la double authentification sur tous les accès exposés sur Internet.
- Limiter le nombre de tentatives de connexion et imposer un délai après plusieurs échecs.
- Ne jamais exposer directement le bureau à distance (RDP) ou les interfaces d’administration sur Internet : passer par un VPN.
- Renommer ou désactiver les comptes par défaut et changer tous les mots de passe d’usine.
- Surveiller les échecs de connexion répétés dans les journaux.
Questions fréquentes
Cela dépend de sa longueur, de sa complexité et de la manière dont il est stocké. Un mot de passe court ou composé de mots courants tombe très vite ; chaque caractère supplémentaire multiplie le nombre de combinaisons à tester. C’est pourquoi la longueur prime.
Il freine fortement l’attaque, mais les attaquants s’adaptent en testant peu de mots de passe sur beaucoup de comptes. La double authentification reste la protection la plus efficace.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Credential stuffing
Attaque automatisée qui teste en masse des identifiants volés lors de fuites de données, en pariant sur la réutilisation des mots de passe.
Piratage de compte
Prise de contrôle ou utilisation frauduleuse d’un compte en ligne (messagerie, réseau social, banque, logiciel métier) au détriment de son titulaire.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Vous avez besoin d'un expert en Attaque par force brute ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.