Les cinq principaux risques liés à l'authentification multifactorielle par SMS

Experts en cybersécurité, les RSSI virtuels de CyberHoot ont constaté l'évolution des techniques d'authentification multifacteur (MFA) au fil des ans. Bien que l'authentification multifacteur par SMS soit largement utilisée pour sa commodité et sa facilité de mise en œuvre, elle présente plusieurs vulnérabilités exploitables par des attaquants. Dans cet article, nous aborderons les risques associés à l'authentification multifacteur par SMS, notamment l'absence de chiffrement, les pannes de réseau, les attaques SS7, l'ingénierie sociale et le SIM-Swapping. Nous recommanderons également des solutions MFA alternatives offrant une sécurité accrue.

Risques associés à l'authentification multifacteur (MFA) par SMS :

L'authentification multifacteur (MFA) par SMS est vulnérable à divers types d'attaques, ce qui la rend moins sécurisée que les autres méthodes d'authentification multifacteur. L'absence de chiffrement des SMS, le risque d'attaques SS7, l'ingénierie sociale et l'échange de cartes SIM constituent des risques importants associés à l'authentification multifacteur par SMS.

Manque de cryptage :

Les SMS ne sont pas chiffrés et peuvent donc être interceptés et lus par des pirates. Si le SMS contient des informations sensibles, comme un code d'authentification à six chiffres, il peut être utilisé par des pirates pour accéder au compte ciblé.

Interruptions de réseau

Les réseaux des opérateurs mobiles ne sont pas à l'abri des pannes de réseau qui rendent les SMS indisponibles. Bien que rares, ces pannes peuvent survenir alors qu'Internet reste opérationnel, vous empêchant ainsi d'accéder à vos comptes critiques en cas d'urgence.

Attaque du système de signalisation 7 (SS7) :

SS7 signifie Signaling System 7 (Système de Signalisation 1988), un protocole déployé pour la première fois en 1993 et mis à jour pour la dernière fois en 30 (il y a 7 ans). Il est utilisé par les opérateurs de télécommunications pour échanger des informations entre les réseaux des opérateurs mobiles. Les pirates informatiques peuvent exploiter les vulnérabilités de SS7 pour intercepter et rediriger les SMS destinés à leur destinataire. Cette attaque est appelée attaque SS2. Elle permet aux attaquants d'intercepter le processus d'authentification multifacteur (MFA) et d'accéder aux identifiants de deuxième facteur des comptes ciblés. Associée à un mot de passe réutilisé, cette forme de protection MFA permet aux pirates d'accéder à des comptes critiques.

Ingénierie sociale:

L'ingénierie sociale est une tactique utilisée par les attaquants pour inciter les individus à divulguer des informations confidentielles. Dans le cas de l'authentification multifacteur (AMF) par SMS, les attaquants peuvent contacter l'opérateur mobile de la victime et se faire passer pour elle afin d'obtenir la carte SIM associée à son numéro de téléphone. Grâce à cette carte SIM, l'attaquant peut recevoir des SMS destinés à la victime, contournant ainsi l'AMF et accédant au compte ciblé. Une autre forme d'attaque par carte SIM est le SIM-Swapping, que nous allons examiner maintenant.

Échange de carte SIM :

L'échange de carte SIM est une technique utilisée par les pirates pour prendre le contrôle du numéro de téléphone d'une victime. Ils peuvent se faire passer pour la victime afin de convaincre l'opérateur mobile de transférer son numéro de téléphone vers une carte SIM en leur possession. Grâce au contrôle du numéro de téléphone de la victime, le pirate accède au deuxième facteur, un code SMS, et accède au compte ciblé grâce au mot de passe exposé, réutilisé ou piraté.

Voici les cinq principaux risques liés à l'authentification multifacteur par SMS. Voyons maintenant les bonnes pratiques à suivre si vous devez utiliser l'authentification multifacteur par SMS, même si CyberHoot vous le recommande. Nous vous proposerons ensuite des méthodes d'authentification multifacteur alternatives, bien plus sûres que l'authentification multifacteur par SMS.

Meilleures pratiques pour l'authentification multifacteur (MFA) basée sur SMS :

Malgré ses vulnérabilités, l'authentification multifacteur par SMS peut offrir une couche de sécurité supplémentaire lorsqu'elle est utilisée correctement. Voici quelques bonnes pratiques pour atténuer les risques associés à l'authentification multifacteur par SMS :

1. Utilisez un numéro de téléphone unique et non publié : Utilisez un numéro de téléphone qui n'est associé à aucun autre compte ou service et qui n'est pas publié si possible, afin de réduire le risque d'attaques d'ingénierie sociale et d'échange de carte SIM.
2. Évitez d’utiliser l’authentification multifacteur par SMS pour les comptes à haut risque : Évitez d’utiliser l’authentification multifacteur par SMS pour les comptes ayant accès à des informations sensibles ou à des actifs financiers.
3. Surveiller l'activité du compte : Surveillez régulièrement l’activité du compte et signalez immédiatement toute activité suspecte au fournisseur de services.

Meilleures solutions MFA alternatives à SMS MFA :

Pour renforcer la sécurité de l'authentification multifacteur (AMF), plusieurs solutions alternatives existent, plus sûres que l'AMF par SMS. En voici quelques exemples :

1. Applications d'authentification mobileLes applications d'authentification telles que Google Authenticator, Microsoft Authenticator et Authy génèrent un mot de passe à usage unique (TOTP) qui change toutes les 30 secondes. Le TOTP est utilisé comme deuxième facteur d'authentification, offrant ainsi une sécurité supplémentaire.
2. Jetons matériels : Les jetons matériels tels que YubiKey et RSA SecurID génèrent un code unique utilisé comme deuxième facteur d'authentification. Plus sécurisés que l'authentification multifacteur par SMS, ces jetons sont invulnérables aux attaques SS7, à l'ingénierie sociale, à l'échange de cartes SIM ou à l'absence de chiffrement.
3. Authentification biométriqueL'authentification biométrique utilise des caractéristiques physiques telles que les empreintes digitales, la reconnaissance faciale ou vocale comme deuxième facteur d'authentification. Cette méthode est hautement sécurisée, car les données biométriques sont uniques à chaque individu et ne peuvent être ni facilement reproduites ni volées. L'authentification biométrique est également pratique, car elle évite aux utilisateurs de mémoriser des mots de passe ou de transporter des jetons.

Conclusions sur l'authentification multifacteur :

L'authentification multifacteur (MFA) par SMS est une méthode largement utilisée pour renforcer la sécurité, mais elle présente d'importantes vulnérabilités exploitables par des attaquants. L'absence de chiffrement, les pannes de réseau, les attaques SS7, l'ingénierie sociale et l'échange de cartes SIM sont autant de risques associés à l'authentification multifacteur par SMS. Bien que des bonnes pratiques permettent d'atténuer ces risques, d'autres solutions MFA offrent une sécurité accrue, comme les applications d'authentification mobile, les jetons matériels et l'authentification biométrique.

En tant que vétérans de la cybersécurité, CyberHoot recommande aux particuliers et aux organisations d'envisager ces solutions alternatives pour améliorer leur posture de sécurité et protéger leurs informations et actifs sensibles.

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Regardez cette vidéo de 2 minutes sur les 5 principaux risques liés à l'authentification multifacteur (MFA) basée sur les SMS :

Lectures complémentaires : « Tales from the Crypt » sur les risques liés à l’authentification multifacteur par SMS