Un seul mot de passe volé ne provoque pas immédiatement un chaos total. Il peut être stocké dans une base de données compromise ou regroupé avec des milliers d’autres enregistrements. Il arrive aussi qu’il soit échangé, revendu, testé sur d’autres services ou utilisé des semaines plus tard dans une campagne d’hameçonnage qui semble sans lien avec la fuite d’origine.

Au moment où une entreprise découvre qu’un de ses comptes est exposé, l’identifiant a parfois déjà passé de main en main. C’est ce qui rend la gestion des identifiants d’entreprise issus du dark web si délicate. La fuite peut survenir à un endroit, les données réapparaître ailleurs, et l’attaque qui suit peut cibler un système totalement différent.

Au moment où ces identifiants apparaissent sur le dark web, la fuite de données a déjà eu lieu quelque part. Ce qui devient alors visible, c’est le risque suivant : qui peut trouver ces données, qui peut les réutiliser et à quelle vitesse l’entreprise peut réagir. Les identifiants d’entreprise circulant sur le dark web sont une ressource précieuse pour les cybercriminels ; votre entreprise doit donc être prête à réagir en cas de fuite de données la concernant.

Comment les identifiants d’entreprise sont dérobés

Il peut s’écouler des jours, des semaines, voire des mois avant qu’une entreprise ne remarque que des identifiants ont fuité. Ils peuvent être capturés via une fausse page de connexion, extraits d’un appareil infecté, exposés lors d’une fuite de données chez un fournisseur ou réutilisés depuis un ancien compte personnel, pour souvent finir sur des places de marché du dark web où les données volées s’achètent en gros.

Phishing

Les messages d’hameçonnage restent une voie courante de vol d’identifiants. Un salarié ou une salariée peut atterrir sur une page qui ressemble à une plateforme SaaS familière, ouvrir une demande de document l’invitant à se connecter ou suivre un message semblant provenir d’un service approuvé. Une fois l’identifiant saisi, l’attaquant peut l’utiliser immédiatement ou le conserver pour plus tard. Une seule attaque d’hameçonnage réussie peut exposer tous les systèmes auxquels le compte compromis permet d’accéder.

Rançongiciels

D’autres fuites sont moins visibles. Lors d’incidents liés à des rançongiciels, les attaquants peuvent dérober des fichiers avant de chiffrer les systèmes, notamment des listes de comptes, des fichiers de configuration, des mots de passe et des journaux d’accès. Une fuite de données dans la chaîne d’approvisionnement peut exposer des identifiants via un fournisseur, un prestataire, un éditeur de logiciels ou un partenaire de services gérés, même lorsque les systèmes de l’entreprise n’ont pas été le premier point de compromission.

Mots de passe réutilisés

Lorsque des salariés utilisent le même mot de passe pour leurs comptes personnels et professionnels, une fuite survenue en dehors de l’entreprise peut tout de même devenir un problème pour elle. Les attaquants n’ont pas besoin de pénétrer d’abord le système professionnel. Ils peuvent tester des identifiants déjà fuités sur des dizaines de services et voir où ils fonctionnent encore, une attaque connue sous le nom de bourrage d’identifiants.

Logiciels malveillants de type infostelealer

Les appareils des salariés peuvent aussi devenir une source d’exposition. Les logiciels malveillants de type infostelealer sont conçus pour collecter les mots de passe enregistrés, les sessions de navigateur, les cookies, les données de remplissage automatique et d’autres informations sensibles sur un appareil. Si cet appareil sert au travail, même occasionnellement, une compromission personnelle peut donner aux attaquants accès aux comptes, outils ou canaux de communication de l’entreprise.

Au moment où l’identifiant apparaît dans un ensemble de données criminelles ou sur une source du dark web, le vol d’origine remonte parfois déjà à plusieurs jours, semaines ou mois. L’entreprise n’a pas seulement affaire à un mot de passe fuité. Elle doit composer avec l’incertitude : d’où vient l’identifiant, qui l’a vu, a-t-il été testé et quelles autres données ont pu être exposées en même temps.

Ce qui se passe après le vol d’identifiants

Une fois volés, les identifiants restent rarement au même endroit. Ils peuvent être ajoutés à un ensemble de données de fuite plus vaste, partagés en privé, vendus en gros ou utilisés par différents groupes à différentes fins. Certains attaquants veulent un accès direct à un compte. D’autres recherchent des listes d’adresses e-mail professionnelles valides, de mots de passe, de données de session ou de comptes administrateur qu’ils pourront revendre.

Leur valeur dépend de ce que l’identifiant permet d’ouvrir :

  • Un identifiant de connexion basique peut servir à l’hameçonnage ou à la reconnaissance interne
  • Un mot de passe réutilisé peut ouvrir plusieurs comptes
  • Un identifiant administrateur peut donner accès aux paramètres, aux données clients, aux informations de facturation ou à la gestion des utilisateurs
  • Un identifiant de connexion à un compte financier peut faciliter une fraude au paiement
  • Des identifiants SaaS peuvent exposer des documents, des messages, des données de projet ou des dossiers clients

Les données d’entreprise présentes sur le dark web deviennent dangereuses parce qu’elles peuvent servir à mener des actions destructrices. Un identifiant peut ouvrir un compte, mais même des enregistrements partiels aident les attaquants à comprendre qui usurper, quels clients cibler, quels processus financiers imiter ou quels salariés faire pression ensuite. Ce qui ressemble pour l’entreprise à une base de données fuitée peut ressembler pour une personne préparant une fraude, un hameçonnage, un vishing ou une prise de contrôle de compte à un ensemble d’opportunités.

Dans notre article présentant le Data Breach Observatory de Proton⁠, nous indiquions que de nombreuses fuites de données ne font pas la une, ce qui masque l’ampleur réelle du problème. Proton a conçu l’Observatory pour montrer où les données d’entreprise fuitent sur le dark web et aider les organisations à comprendre les risques émergents liés à une exposition réelle.

Quelles données d’entreprise ont le plus de valeur sur le dark web

Les données d’entreprise les plus précieuses sur le dark web ne se limitent pas aux mots de passe ou aux informations de paiement. Les attaquants recherchent souvent toute information qui les aide à accéder aux comptes, à usurper l’identité de salariés, à cibler des clients ou à comprendre le fonctionnement d’une entreprise.

Le Data Breach Observatory de Proton⁠ montre à quel point les données d’entreprise exposées peuvent être variées, des noms et adresses e-mail aux informations de contact, mots de passe et autres enregistrements pouvant servir à d’autres attaques. Même une information partielle peut devenir utile lorsqu’elle est combinée à des données issues d’autres fuites.

Les données d’entreprise les plus précieuses pour les attaquants comprennent généralement :

  • Identifiants de connexion : les adresses e-mail, mots de passe, cookies de session et jetons d’authentification peuvent offrir aux attaquants un chemin d’accès direct aux comptes d’entreprise. Ce risque est plus élevé lorsque des salariés réutilisent des mots de passe d’un outil à l’autre ou lorsque l’authentification multifacteur (MFA) n’est pas activée.
  • Informations sur les salariés : les noms, intitulés de poste, adresses e-mail professionnelles, numéros de téléphone et informations organisationnelles aident les attaquants à identifier qui cibler et comment rendre un message crédible. Ces données peuvent servir à l’hameçonnage, à l’usurpation d’identité et aux tentatives de compromission de messagerie professionnelle.
  • Données clients : les noms, informations de contact, adresses, informations de compte et historiques d’achat peuvent servir à la fraude, à l’usurpation d’identité, à l’hameçonnage ou à l’ingénierie sociale. Même lorsque ces données ne contiennent pas de mots de passe, elles aident les attaquants à rendre leurs arnaques plus personnelles et plus convaincantes.
  • Informations financières et de paiement : les factures, coordonnées bancaires, écritures de facturation, documents fiscaux et données de paiement peuvent faciliter la fraude à la facture, les arnaques à la redirection de paiement ou les tentatives d’usurpation d’identité de fournisseurs et de partenaires.
  • Documents internes de l’entreprise : les contrats, listes de fournisseurs, fichiers de projet, documents stratégiques et enregistrements opérationnels ne donnent pas forcément un accès immédiat à un compte, mais ils peuvent révéler le fonctionnement de l’entreprise, ses dépendances et les faiblesses que les attaquants pourraient exploiter.

Les mots de passe réutilisés, les identifiants fuités et les combinaisons prévisibles sont les voies les plus faciles pour entrer dans un compte d’entreprise : nul besoin d’exploit, juste une liste et de la patience. Mais d’autres données exposées aident aussi les attaquants à construire des attaques plus ciblées. Une fois des informations d’entreprise présentes sur le dark web, le risque n’est pas seulement qu’un compte soit compromis. Les mêmes données peuvent être réutilisées, combinées et exploitées longtemps après la fuite d’origine.

Que faire si vous trouvez les identifiants de votre entreprise sur le dark web

S’il n’existe pas d’estimation précise des pertes causées spécifiquement par l’activité sur le dark web, celle-ci joue un rôle dans une économie de la cybercriminalité bien plus vaste. Une étude universitaire, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(nouvelle fenêtre), estime le total mondial des dommages liés à la cybercriminalité à environ 500 milliards de dollars par an, avec une fourchette probable allant de 100 à 1 000 milliards de dollars. Les forums et places de marché du dark web alimentent cet écosystème en facilitant l’échange, la combinaison et la réutilisation d’identifiants, de données personnelles et d’informations d’entreprise volés.

Si des identifiants d’entreprise sont trouvés sur le dark web, votre priorité doit être de réduire la possibilité que les attaquants puissent encore les utiliser. Un identifiant exposé il y a des mois peut rester valide si le mot de passe n’a pas été changé, si l’authentification multifacteur (MFA) est absente ou si le même mot de passe a été réutilisé sur d’autres outils.

1. Identifier les comptes, les salariés et les systèmes potentiellement concernés

Réinitialisez les mots de passe exposés, révoquez les sessions actives et vérifiez si des mots de passe identiques ou similaires ont été utilisés ailleurs. Si le compte est relié à la messagerie, au stockage de fichiers, aux systèmes financiers, aux données clients ou à des panneaux d’administration, considérez-le comme à risque élevé et examinez l’activité récente à la recherche de connexions suspectes, de règles de transfert, de modifications de permissions ou de téléchargements inhabituels.

Si les identifiants exposés impliquent des données personnelles, évaluez si l’incident doit être signalé à l’autorité de contrôle compétente, l’ICO(nouvelle fenêtre) au Royaume-Uni, l’autorité nationale de protection des données dans chaque État membre de l’UE. Dans le cadre du RGPD britannique comme du RGPD européen, toute fuite de données personnelles n’est pas à signaler, mais les organisations doivent notifier lorsque la fuite est susceptible de présenter un risque pour les droits et libertés des personnes. Les conseils de l’ICO pour signaler une fuite de données(nouvelle fenêtre)⁠ aident les entreprises à évaluer l’incident et à comprendre la procédure de signalement.

2. Activer l’authentification multifacteur partout où c’est possible

Veillez à cibler en priorité les outils contenant des données d’entreprise sensibles, comme la messagerie, les comptes administrateur et les plateformes cloud. Si l’authentification multifacteur était déjà activée, examinez la méthode d’authentification et les options de récupération pour vous assurer que les attaquants ne peuvent pas la contourner via des codes de sauvegarde compromis, des comptes de messagerie de récupération fragiles ou de l’ingénierie sociale.

3. Prévenir les utilisateurs internes concernés

Informez ensuite les membres de l’équipe concernés et donnez des consignes claires sur ce qu’il faut modifier et ce à quoi il faut rester attentif. Une fois les identifiants apparus sur le dark web, les attaquants peuvent les utiliser pour du bourrage d’identifiants, de l’hameçonnage, de l’usurpation d’identité ou des tentatives de propagation d’un compte compromis vers d’autres systèmes de l’entreprise.

4. Vérifier vos contrôles d’accès

Supprimez les comptes inutilisés, mettez à jour les permissions, vérifiez les identifiants partagés et assurez-vous que les salariés utilisent des mots de passe uniques pour chaque service professionnel. Un gestionnaire de mots de passe aide les équipes à générer des mots de passe plus robustes, à les stocker en toute sécurité, à partager l’accès sans exposer le mot de passe lui-même et à donner aux administrateurs une meilleure visibilité sur les comportements à risque en matière de mots de passe.

5. Poursuivre la surveillance des expositions futures

Enfin, poursuivez la surveillance des expositions futures. Les données du dark web peuvent refaire surface, être reconditionnées ou combinées à d’autres fuites longtemps après la fuite d’origine. Détecter tôt des identifiants exposés donne à l’entreprise une meilleure chance de réinitialiser les accès avant que les attaquants ne transforment les données fuitées en prise de contrôle de compte, en fraude ou en incident de sécurité plus large. Un gestionnaire de mots de passe d’entreprise comme Proton Pass for Business facilite cette démarche en identifiant les comptes vulnérables et en centralisant les alertes de fuite de données, pour que les expositions remontent sans que personne ait à les chercher.

Comment Pass Monitor aide à détecter l’exposition des identifiants

L’exposition sur le dark web est souvent tardive et fragmentée. Une adresse e-mail fuitée peut apparaître dans un ensemble de données, un mot de passe dans un autre, et des informations personnelles associées ailleurs. La surveillance aide à faire remonter ces signaux plus tôt, avant que les identifiants exposés ne soient discrètement réutilisés pour une prise de contrôle de compte, un hameçonnage ou une fraude.

Avec un gestionnaire de mots de passe d’entreprise comme Proton Pass for Business⁠, les équipes peuvent stocker leurs identifiants dans des coffres-forts de mots de passe chiffrés, générer des mots de passe uniques, remplir automatiquement les identifiants de connexion, partager l’accès en toute sécurité, gérer les clés d’accès et utiliser l’authentification à deux facteurs intégrée. Des fonctions d’administration telles que les politiques, les rapports, les journaux, la gestion des groupes, le provisionnement SCIM et l’intégration SSO aident à garder les accès sous contrôle à mesure que l’entreprise se développe.

Notre outil de surveillance du dark web est une fonctionnalité de Proton Pass for Business qui vous aide à identifier les comptes professionnels vulnérables et à recevoir des alertes de fuite de données au même endroit. Il comprend la surveillance du dark web, des contrôles de sécurité des mots de passe et des alertes d’inactivité de l’A2F.

Pass Monitor peut alerter les utilisateurs lorsque des informations personnelles sont compromises lors d’une fuite de données et repérer les mots de passe réutilisés ou faibles. La sécurité des mots de passe estime le temps qu’il faudrait pour craquer un mot de passe, ce qui permet à une équipe de voir la différence entre un mot de passe qui tombe en quelques secondes et un autre qui résisterait des années.

Il met aussi en évidence les comptes pour lesquels l’A2F est inactive, une couche de sécurité supplémentaire importante, et souvent ce qui fait la différence entre un mot de passe divulgué qui n’est qu’un désagrément et une véritable fuite de données. Plutôt que d’attendre d’avoir connaissance d’une fuite de données avant qu’il ne soit trop tard, donnez à votre entreprise les outils dont elle a besoin pour se protéger.

Surveillez les identifiants de votre entreprise sur le dark web grâce à un gestionnaire de mots de passe pour les entreprises⁠.