Par Bogdan Botezatu, Senior Director, Threat Research & Reporting chez Bitdefender 
Le vol d’identifiants professionnels sur des appareils personnels devient une voie fréquente d’accès aux entreprises. Les infostealers se situent à l’intersection entre logiciels malveillants visant les particuliers et attaques professionnelles car ils peuvent compromettre l’ordinateur personnel d’un collaborateur et ainsi exposer ses accès professionnels.
Un pont entre appareils administrés et personnels
La synchronisation des navigateurs joue un rôle croissant. Un collaborateur peut connecter un compte Google ou Microsoft personnel à son navigateur professionnel et synchroniser mots de passe et autres données. Si ce compte est aussi utilisé à domicile, les identifiants enregistrés peuvent y devenir accessibles. Chrome permet de retrouver les mots de passe sur tous les appareils connectés au même compte. Un pont se crée entre un environnement administré et un appareil personnel. Si l’ordinateur du domicile est infecté par un infostealer, les identifiants arrivés par synchronisation peuvent être volés sans que le poste professionnel ait été compromis. Certaines organisations interdisent donc les profils personnels sur leurs appareils, désactivent la synchronisation des données sensibles ou empêchent le navigateur d’enregistrer les mots de passe professionnels. Chrome et Edge proposent des politiques d’entreprise pour ces contrôles.
Elles peuvent aussi imposer un gestionnaire de mots de passe professionnel, piloté centralement. Le principe reste la séparation, aucun identifiant professionnel ne doit se propager par un service grand public vers un appareil que l’organisation ne sécurise ni ne surveille.
Changer le mot de passe ne suffit pas
Les infostealers exploitent ces relations de confiance au lieu d’attaquer directement l’infrastructure. Ils collectent mots de passe, cookies, tokens d’authentification et autres informations sur la machine infectée. L’attaquant peut alors accéder aux services professionnels sous l’identité d’un collaborateur légitime. Réinitialiser le mot de passe est nécessaire, mais insuffisant. Il faut supposer que le logiciel malveillant a pu récupérer davantage. Les sessions et tokens existants doivent être révoqués, car certains restent valides après cette modification. Selon les systèmes accessibles au compte, il faut aussi examiner les autorisations OAuth, les clés API, les accès VPN et les autres secrets de l’utilisateur. Changer un mot de passe depuis un ordinateur encore infecté peut simplement livrer le nouveau à l’attaquant. Les identifiants doivent être modifiés depuis un appareil sain, tandis que le terminal suspect est isolé, analysé et assaini. Il faut ensuite déterminer ce qui s’est produit après le vol.
Les logs d’identité et d’applications doivent être examinés à la recherche de connexions inhabituelles, de changements de privilèges, de nouvelles méthodes d’authentification, de règles de messagerie, d’autorisations d’applications inattendues, de déplacements latéraux ou d’accès et d’extractions inhabituels de données. La question n’est pas seulement : « Le mot de passe est-il de nouveau sécurisé ? » Elle est aussi : « Qu’a fait l’attaquant lorsqu’il pouvait usurper l’identité du collaborateur ? »
Faire de l’identité une télémétrie de sécurité
Les organisations doivent traiter l’activité des identités comme une télémétrie de sécurité à part entière. Les services de surveillance du dark web peuvent les avertir lorsque leurs identifiants sont vendus ou partagés en ligne. Les systèmes de gestion des identités et des accès doivent aussi détecter les changements de contexte ou de comportement, nouvel appareil, lieu ou réseau inhabituel, horaires atypiques, applications rarement utilisées, volume anormal de recherches ou de téléchargements, passage rapide entre services ou accès sans rapport avec le rôle de l’utilisateur.
L’authentification multifacteur reste indispensable, surtout pour les accès distants et les services sensibles. Lorsque cela est possible, les méthodes résistantes au phishing, comme les passkeys ou les identifiants protégés par un dispositif matériel, offrent une protection plus forte que les mots de passe et les codes à usage unique. Pour les systèmes sensibles, l’état de sécurité de l’appareil doit entrer dans la décision d’accès. Des politiques d’accès conditionnel peuvent réserver les applications critiques aux terminaux administrés ou conformes. Lorsque les appareils personnels doivent être acceptés, l’accès réseau Zero Trust, les postes de travail virtuels ou les sessions de navigation isolées permettent de conserver un accès contrôlé. Protéger une identité ne consiste donc plus seulement à changer son mot de passe. Il faut empêcher qu’elle se propage vers des appareils hors de contrôle, détecter ses usages anormaux et comprendre ce qu’un attaquant a accompli avant la coupure de l’accès.
