Attention si vous utilisez un VPN : 2 millions de mots de passe sont compromis

L’usage de VPN gratuits ou premium s’est largement répandu en quelques années chez les particuliers. Le matraquage publicitaire et les promesses de profiter de meilleurs prix sur Internet, voir du contenu vidéo inaccessible dans son pays d’origine ou simplement pour ajouter une couche de protection supplémentaire, les arguments sont multiples. Le problème est que si les VPN renforcent la sécurité en chiffrent les données en fournissant une connexion sécurisée, ils n’échappent pas aux vulnérabilités. Ils peuvent faire l’objectif d’attaques par force de brute, si les serveurs sont configurés pour permettre un nombre illimité de tentatives de connexion.

Des VPN renommés victimes d’intrusion

Dans une récente étude, l’équipe de recherche de Specops révèle 2 151 523 mots de passe VPN qui ont été compromis par des logiciels malveillants au cours de l’année écoulée. « Il s’agit du vol de véritables mots de passe, choisis par des utilisateurs finaux pour accéder aux VPN, et ils représentent tous une opportunité pour un pirate d’obtenir un accès non autorisé », explique l’entreprise spécialisée dans les solutions de sécurisation des mots de passe. Les trois premiers fournisseurs de services VPN ciblés (ProtonVPN, ExpressVPN et NordVPN) sont trois des VPN les plus populaires et les plus sûrs du marché. Une situation qui n’a pas empêché plus d’un million d’utilisateurs Proton VPN de voir leurs informations d’identification compromises par des logiciels malveillants.

Pour les experts, il est « beaucoup plus facile » pour les cybercriminels de s’en prendre aux identifiants de connexions des clients que d’essayer de pirater les VPN eux-mêmes. En ce qui concerne les mots de passe des services VPN les plus couramment compromis, on retrouve quelques incontournables de nos claviers comme « 12345 », « qwerty » (équivalent d’azerty) ou encore « Admin » et « password ». La variante « P@ssw0rd » gagne également des adeptes, et ce, afin de se conformer aux exigences de complexité. Généralement, un mot de passe doit désormais contenir une lettre majuscule, un chiffre et un caractère spécial. La liste comprend aussi les termes « protonvpn » et « dyadroid1 », soit deux des cinq fournisseurs ayant subi le plus de violations. « Certains utilisateurs finaux se sont clairement contentés de taper le nom du produit comme mot de passe », confie Specops, qui rappelle l’importance pour une organisation d’appliquer une politique stricte en matière de mots de passe.

 

Une règle d’or : bien choisir son mot de passe

Le mot de passe le plus courant n’a été trouvé que 5 290 fois (et le mot de passe très courant « password » seulement 554 fois) dans cet ensemble de données, nous apprend l’étude. Cela pourrait suggérer que les utilisateurs « ont généralement utilisé des mots de passe uniques, voire forts, pour leurs identifiants VPN ».

Pour votre VPN ou n’importe quel autre service nécessitant un mot de passe, n’oubliez pas de suivre quelques bonnes pratiques :

• Créer un mot de passe comportant au moins 12 caractères
• Utiliser des chiffres, des lettres, des caractères spéciaux
• Choisir un mot de passe anonyme en évitant la date de naissance, un surnom…
• Éviter les séquences de caractères comme « 123456 » ou « azerty »
• Utiliser des mots de passe unique et un gestionnaire de mot de passe
• Activer la double authentification dès que possible
• Penser à renouveler vos de passe régulièrement

🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités et sur notre WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.