Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Vol de code 2FA – Restez vigilant !

J’encourage tout le monde depuis des années à activer l’authentification double facteur (2FA) sur un maximum de services. Mais il arrive parfois que certaines personnes mal intentionnées déjouent la sécurité et réussissent à se connecter à des comptes qui ne leur appartiennent pas.

A ce niveau, pas de mystère. Si ça vous est arrivé, cela doit probablement coller à l’un de ces scénarios.

  1. Vous avez été infecté par un malware, donnant ainsi la possibilité à l’attaquant de récupérer le code 2FA à votre insu, au moment où vous l’entrez dans le formulaire concerné ou juste après, une fois votre compte déverrouillé par vos soins.
  2. Si le code 2FA est envoyé par SMS et que vous êtes ciblé par l’attaquant, celui-ci peut, en accédant au réseau SS7 encore utilisé par les opérateurs, intercepter le SMS. Ça demande un peu plus de taf, mais c’est possible.
  3. Via une campagne de phishing. En cliquant sur un lien non légitime, il est possible que vous vous soyez retrouvé sur un clone du site de votre banque ou de votre webmail. Vous avez alors entré vos identifiants (intercepté par l’attaquant) et on vous demande ensuite d’entrer le code 2FA (demandé par l’attaquant). Comme vous avez l’impression d’être sur le vrai site, vous ne vous méfiez pas et hop, si l’attaquant agit suffisamment vite, il peut utiliser votre code 2FA et vos identifiants et accéder à votre compte. Tout est une question de timing et la procédure peut être automatisée.
  4. Enfin, le scénario le plus courant, c’est celui du social engineering. Et c’est d’ailleurs la raison d’être de cet article, car j’ai trouvé cette image énorme et je voulais absolument la partager avec vous. Je suis tombé il y a quelques jours via Twitter sur ces quelques messages envoyés par SMS qui ont permit à l’attaquant de récupérer un code 2FA sans aucun problème. 

Pour ceux qui ne parlent pas anglais, en gros, l’attaquant envoie un SMS à sa cible, expliquant qu’il est l’ancien propriétaire du numéro de téléphone et qu’il souhaite se connecter sur l’un de ses vieux compte en ligne. Il demande alors à la cible si elle peut lui transférer le code qu’elle va recevoir. Et voilà…

Bref, comme souvent, c’est avant tout un sérieux problème entre la chaise et le clavier. Un manque de vigilance et un abus de confiance.

Pour se protéger, il vaut donc mieux utiliser une application type authenticator plutôt qu’un envoi par SMS du code 2FA et surtout rester vigilant à chaque instant. Ce n’est pas très compliqué, mais vérifiez bien à chaque fois qu’un service vous demande un code 2FA, que vous êtes bien sur un site légitime et que vous y avez accédé en direct et pas en cliquant sur un lien contenu dans un email obscur.

Et si ce n’est pas encore fait, activez le 2FA ! Il y a de nombreux sites qui le proposent.


Batterie Anker PowerBank 13400 mAh

-25 % de réduction

Livré avec son câble d’alimentation USB-C, Housse de protection et Guide de démarrage rapide

Et compatible avec la Nintendo Switch, sa vitesse de charge va jusqu’à 80% plus vite que les batteries non certifiées par Nintendo

En Savoir +



Réponses notables

  1. Jack says:

    Oui enfin quand je reçoit un code 2FA, j’ai quand même un sms du genre :
    “Truc Banque : le code 3D secure pour achever votre transaction de xx€ auprès de yy organisme est : zzzzz”
    Donc si l’organisme qui envoie un code 2FA n’est pas trop naze, ça se détecte quand même facilement, même pour un gros naïf.

  2. Le social engineering je trouve ça fascinant !
    C’est fascinant de voir comment l’être humain peut se faire avoir facilement !
    Comme le dit @michigan, l’histoire a beau être réelle et la demande aussi, une personne malveillante aurais très bien pu faire la même chose, et ça, c’est beau !

Continuer la discussion sur Korben Communauté

1 commentaires supplémentaires dans les réponse

Participants

Installer le shell Bash (Linux) sous Windows 10

L’année dernière, ça ne vous a pas échappé, Bash a fait son apparition sous Windows 10. C’est pour moi, la meilleure chose qui soit arrivée à Windows depuis un moment, car ça permet de lancer des outils Linux et de développer ses propres scripts Shell directement sous Windows. Le pied !

Mais même si c’est parfaitement fonctionnel, il faut quand même…

Lire la suite


Plus de 60 idées pour votre Raspberry Pi

Nous sommes nombreux à nous être procuré un petit ordinateur Raspberry Pi pour nous lancer dans des projets de ouf malade… C’est très cool, mais à part le classique Media Center XBMC, qu’avez-vous fait avec votre Raspberry Pi ?

Si vous séchez niveau idées, voici une petite sélection…

Lire la suite


Une astuce pour rendre Windows 10 plus rapide

Si vous trouvez que Windows 10 est un peu lent, que vos applications ne se lancent pas très vite, que vos compilations prennent du temps, voici une petite astuce débusquée par Brominou pour accélérer le bouzin.

Cliquez dans la zone de recherche de la barre Windows et tapez le mot clé « Performances ». Puis cliquez sur « Régler l’apparence et les performances de Windows » …

Lire la suite


Changer d’adresse IP rapidement

Une petite astuce pour ceux qui ne connaissent pas. Comment changer d’adresse IP à la volée.
Il suffit d’en demander une nouvelle à son provider si celui-ci accepte les IP dynamiques. Pour vérifier que vos manipulation ont eu l’effet escompté, vérifiez quelle est votre adresse IP….

Lire la suite