OpenAI Operator, Deepseek ou encore Alibaba Qwen, l’essor des agents IA personnalisables (CUAs – Customizable User Agents) bouleverse le paysage de la cybersécurité. Très pratiques, ils permettent d'automatiser des tâches répétitives sur des navigateurs ou des systèmes sans intervention humaine comme remplir automatiquement des formulaires en ligne, interagir avec des interfaces web, ou encore récupérer et analyser des données en temps réel. Grâce à leur flexibilité, ils sont utilisés dans des secteurs comme le support client, la gestion de données et l'automatisation des tests logiciels. Cependant, cette même flexibilité les rend vulnérables à des détournements par des cybercriminels pour mener des attaques sophistiquées sur les identités. Il s’agit notamment des attaques automatisées de Card Testing qui utilisent des cartes bancaires volées pour tester leur validité avant de réaliser des fraudes à grande échelle ou de Credential Stuffing qui utilisent des listes d’identifiants volés pour accéder à des comptes en ligne.

Quand l’IA devient une arme cybercriminelle

Ces agents automatisent les attaques, notamment en exploitant des API, des automates de navigation, ou des scripts IA avancés. L'automatisation des attaques sur les identités repose sur cinq étapes clés :

1. Reconnaissance: Les attaquants exploitent l’IA pour scanner des services SaaS tels que Microsoft 365 et Google Workspace, identifiant ainsi des comptes actifs et des points d’entrée vulnérables (OWASP A06:2021 - Exploitation des identifiants vulnérables).
2. Accès Initial: Grâce à l’IA, les cybercriminels optimisent les techniques de credential stuffing et de phishing ciblé. Le credential stuffing consiste à utiliser des listes d’identifiants volés (noms d’utilisateur et mots de passe) pour tenter d’accéder à divers services en ligne. Comme de nombreux utilisateurs réutilisent leurs mots de passe, les attaquants testent ces identifiants de manière automatisée pour compromettre des comptes (MITRE ATT&CK - T1110.001). En analysant les habitudes de communication des victimes, ils génèrent des emails d’hameçonnage hyper-personnalisés, contournant ainsi les filtres traditionnels.
3. Persistance: Une fois un compte compromis, l’attaquant met en place des sessions persistantes ou crée des applications OAuth malveillantes (MITRE ATT&CK - T1556.003), garantissant un accès furtif et prolongé.
4. Mouvement latéral: L’IA permet aux attaquants de cartographier les accès internes et d’étendre la compromission à d’autres ressources stratégiques comme les bases de données ou les infrastructures cloud (MITRE ATT&CK - T1021.002)
5. Exfiltration: Enfin, les agents IA facilitent l’extraction rapide et discrète des données sensibles (MITRE ATT&CK - T1567.002), pouvant être revendues sur le dark web ou utilisées pour des attaques par ransomware.

Attaques de Credential Stuffing

En janvier 2024, une entreprise de services financiers a subi une attaque de Credential Stuffing visant ses comptes clients, facilitée par un bot IA. Plus de 200 000 tentatives d’accès ont été détectées en 24 heures, entraînant la compromission de 3 000 comptes et une perte financière estimée à 2,5 millions de dollars (Rapport Cybersecurity Ventures 2024).

En mars et avril 2024, la plateforme de streaming Roku a subi deux attaques de Credential Stuffing, compromettant au total 591 000 comptes clients.

Ces quelques exemples montrent l'importance de mettre en place des mesures de sécurité robustes pour protéger contre les attaques de Credential Stuffing.

Quels sont les mécanismes de l'attaque Credential Stuffing ?

• Collecte des identifiants:
  Les attaquants ont probablement obtenu des identifiants volés à partir de fuites de données antérieures ou de marchés noirs en ligne. Ces identifiants incluent des combinaisons de noms d'utilisateur et de mots de passe couramment utilisés par les utilisateurs sur divers services en ligne.
• Automatisation avec un Bot IA:
  Un bot IA a été utilisé pour automatiser les tentatives de connexion à grande échelle. Le bot a testé les identifiants volés sur les systèmes de l'entreprise de services financiers, exploitant le fait que de nombreux utilisateurs réutilisent les mêmes mots de passe pour différents services.
• Détection et compromission:
  Grâce à l'automatisation, le bot a pu effectuer un grand nombre de tentatives de connexion en peu de temps, maximisant ainsi les chances de succès. Une fois les comptes compromis, les attaquants ont pu accéder à des informations sensibles et potentiellement effectuer des transactions frauduleuses.

À mesure que les attaques alimentées par l'IA évoluent, les organisations doivent mettre en place des contrôles de sécurité avancés pour atténuer efficacement les menaces de Credential Stuffing.

Comment détecter une tentative de Credential Stuffing ?

Une détection précoce repose sur des outils avancés et une surveillance constante:

• Augmentation des échecs de connexion: Un pic soudain de tentatives infructueuses indique une attaque automatisée.
• Accès depuis plusieurs pays en peu de temps: Les attaquants utilisent des bots dans différentes régions pour masquer leur activité.
• Utilisation accrue de bots: Détection de connexions extrêmement rapides ou contournant les CAPTCHA via l’analyse du trafic réseau.

Comment réagir à une attaque de Credential Stuffing ?

Une réponse rapide et efficace est essentielle pour limiter les dégâts et protéger les comptes utilisateurs ::

• Verrouillage des comptes compromis: Identifier et verrouiller immédiatement les comptes affectés. Exiger un changement de mot de passe avant de rétablir l’accès.
• Surveillance des activités suspectes: Analyser les comportements anormaux tels que les pics de tentatives de connexion, les accès depuis des IP inconnues ou les transactions inhabituelles.
• Informer les utilisateurs concernés: : Avertir en temps réel les victimes et leur recommander d’activer l’authentification multifacteur (MFA)..
• Renforcer les mesures de sécurité: Mettre en place des listes noires d’IP, des CAPTCHA, et limiter le nombre de tentatives de connexion (rate limiting).

Quelles sont les meilleures pratiques pour prévenir une attaque de Credential Stuffing ?

• Authentification multifacteur (MFA): Ajout d’une validation supplémentaire (OTP, biométrie) pour bloquer l’accès aux attaquants même avec des identifiants valides.
• Limitation du taux: Restriction du nombre de tentatives de connexion par adresse IP pour ralentir les attaques.
• CAPTCHA: Ajout de tests anti-bots pour empêcher les tentatives automatisées à grande échelle.
• Politiques de mots de passe robustes: Exiger des mots de passe complexes et encourager leur renouvellement régulier.
• Surveillance et détection des anomalies: Analyse continue des connexions et des comportements suspects pour identifier les attaques en temps réel.
• Approches avancées pour renforcer la défense : La détection des attaques peut être améliorée grâce aux solutions de Threat Hunting basées sur l’IA, comme l’analyse UEBA (User and Entity Behavior Analytics), permettant d’identifier les comportements anormaux et les connexions suspectes. L’adoption de l’authentification sans mot de passe (Passwordless) avec FIDO2/WebAuthn supprime totalement le risque lié aux identifiants volés. Enfin, la surveillance du dark web en temps réel, via des plateformes comme Cybersixgill ou Recorded Future, permet d’anticiper les menaces en identifiant rapidement les fuites de credentials avant qu’elles ne soient exploitées.

Ces stratégies combinées permettent de renforcer la protection des comptes et de limiter l’impact des attaques automatisées.