Le 4 mai 2023 a eu lieu la journée mondiale du mot de passe. Comme chaque année, cette journée a été l’occasion de rappeler la nécessité d’avoir des mots de passe compliqués et uniques pour chacun de ses comptes. Si un pirate ou une personne malveillante de votre entourage connaît l’un de vos mots de passe, il peut s’en servir pour commander en ligne en utilisant votre compte bancaire, usurper votre identité pour constituer un dossier de prêt, accéder à des données sensibles de votre entreprise.

« ….Composez des mots de passe d'au moins 12 caractères. Utilisez un mélange de lettres, chiffres, caractères spéciaux, majuscules, minuscules. N'utilisez pas d'informations liées à votre vie personnelle dans vos mots de passe. Votre adresse, date de naissance ou le nom de votre animal de compagnie sont à proscrire…. ». Selon un rapport de l’entreprise américaine de sécurité informatique Home Security Heroes (HSH) publié en avril 2023, vos mots de passe devraient contenir des majuscules, des minuscules, des symboles, des chiffres et au moins 15 caractères.

Crédit d’image © par Getty Image, La cybersécurité, la sécurité des données et l’accès aux données doivent être reconnus en premier. Connexion Internet sécurisée, cryptage de sécurité avancé.

C’est la meilleure façon de se protéger contre les outils dopés à l’intelligence artificielle (IA) dont disposent désormais les pirates informatiques. En une seule minute, l’un de ces outils, PassGAN, a pu déchiffrer la moitié des 15 millions de mots de passe qui lui avaient été soumis, a montré HSH lors d’une simulation. Après une journée, 71 % d’entre eux avaient été découverts. 

Les nouvelles études ont démontré que, contrairement à ce qui est véhiculé depuis longtemps, ce n’est pas le mélange des lettres en minuscules et en majuscules, des chiffres et des caractères spéciaux qui donne de la force aux mots de passe, mais bien sa longueur. Plus le mot de passe est long, plus il est robuste. On conseille donc d’utiliser une phrase que vous pourrez retenir facilement comme par exemple : JeMangeDesFruitsLeMatin

La situation devient cauchemardesque lorsqu’on apprend que des logiciels basés sur l’intelligence artificielle (i.e ChatGPT) peuvent deviner des millions de mot de passe en une poignée de minutes ! et que habillement questionné, dans un premier temps, ChatPGT fournira une réponse standard du genre : « il ne serait pas éthique de fournir une liste de mots de passe couramment utilisés, car elle pourrait potentiellement être utilisée à des fins malveillantes telles que le piratage ou l’usurpation d’identité ». Mais dès que vous lui demandez de jouer le rôle d’un chercheur en cybersécurité qui met en garde les utilisateurs contre l’utilisation de mots de passe courants et dangereux, il affiche une liste de termes courants.

Et cette situation devient encore plus catastrophique lorsqu’on utilise une solution basée sur l’apprentissage automatique fondé sur la théorie (Cette démarche est exploitée depuis 2019 par Home Security Heroes et son outil PassGAN).

Crédit d’image © par lesaffaires.com, Nicolas Coulombe, chef de la sécurité au Mouvement Desjardins.

Selon le chef de la sécurité du Mouvement Desjardins, Nicolas Coulombe, de toutes les nouvelles menaces qui pèsent sur la cybersécurité des organisations, l’intelligence artificielle est de loin la première, Ça peut aider les organisations à se protéger des menaces, d’une part, mais ça aide aussi les cybercriminels. Surtout depuis que ChatGPT est accessible au grand public, cela « démocratise l’intelligence artificielle ». Un pirate informatique, peut aller valider un code sur ChatGPT, lui demander s’il voit une vulnérabilité et ensuite tenter d’utiliser cette vulnérabilité de façon malveillante. »

Dans ce contexte, il n’est donc pas surprenant que le dernier rapport du Forum économique mondial sur les plus grands risques à l’échelle planétaire, place la cybercriminalité au 8e rang, sur un horizon de dix ans.

D’un autre coté, avec l’aide de l’intelligence artificielle, de nouvelles façons d’accéder à vos comptes émergent, et elles sont plus sécuritaires que de taper un mot de passe. Comme ouvrir une notification envoyée sur votre téléphone, par exemple ; pour réussir à pirater votre compte, il faudrait que les fraudeurs accèdent à votre appareil. Dans certains cas, ces notifications sont également protégées par vos données biométriques (votre visage ou vos empreintes digitales), reconnues par votre téléphone. Ces « clés d’accès » ont récemment été adoptées par Apple et Google, et sont appelées à gagner en popularité.  Si quelqu’un tente de se connecter à votre compte à l’autre bout du monde alors que vous étiez à la maison à peine une heure plus tôt, un système informatique doté de dispositifs de sécurité robustes détectera que cette demande ne vient pas de vous.

Crédit d’image © par Getty Image, Pirate informatique sans visage.

Plus les répercussions du piratage d’un site risquent de mettre ses utilisateurs dans l’embarras, plus une entreprise a intérêt à y imposer des « couches » de sécurité.

Malheureusement, les sites que nous visitons ne suivent pas tous les plus récentes approches en matière de sécurité. Et les mots de passe sont toujours bien présents en 2023…

Pour ceux qui trouve que de mémoriser un mot de passe de 18 caractères peuvent trouver réconfort auprès des logiciels ‘Gestionnaires de mots de passe’ ; ils gèrent et sauvegardent eux-mêmes tous vos mots de passe. Vous n’en avez qu’un seul à connaître, celui qui permet d’ouvrir ce fameux logiciel. Ces gestionnaires de mots de passe ont encore de beaux jours devant eux…