MtoM Mag - Le journal de l'MtoM.

79 % des violations de données sont liées à l’usurpation d’identités et coûtent en moyenne 4,5 millions de dollars aux entreprises, selon plusieurs rapports de l’Identity Defined Security Alliance (IDSA) et du Ponemon Institute. En outre, l’édition 2025 du rapport Active Adversary de Sophos indique que le temps moyen entre le début d’une agression et l’exfiltration des données est de seulement 72,98 heures, soit 3,04 jours, tandis que le délai moyen entre l’exfiltration et la détection de l’attaque est de seulement 2,7 heures. Ainsi les cyberattaques sont de plus en plus rapides, et plus une identité infectée est active longtemps, plus les dommages potentiels sont élevés.

Face à ce constat, Sophos, l’un des premiers éditeurs mondiaux de solutions de sécurité innovantes conçues pour neutraliser les cyberattaques, profite de la Journée de la gestion des identités qui a lieu mardi 8 avril 2025 pour rappeler les bonnes pratiques que les entreprises doivent appliquer en matière de gestion et de sécurisation des identités numériques.

Les cybercriminels peuvent utiliser une identité compromise pour accéder à des informations confidentielles, voler des données, se déplacer latéralement et lancer d’autres attaques au sein de l’entreprise attaquée. Il est donc indispensable de prendre des mesures immédiates pour contenir les violations de données et minimiser leurs conséquences. Dans ce contexte, l’automatisation joue un rôle clé en permettant aux entreprises de réagir avec rapidité et efficacité face aux menaces liées à l’usurpation d’identités.

Voici cinq mesures que les entreprises doivent prendre pour se protéger automatiquement en cas d’usurpation d’identité :

1. Désactiver l’utilisateur

Lorsqu’une violation d’identité est détectée, l’une des premières mesures consiste à désactiver le compte de l’utilisateur concerné. En l’empêchant d’utiliser l’identité compromise pour accéder aux systèmes et aux données de l’entreprise, cette opération prend de vitesse le hacker et contribue à contenir la violation.

L’automatisation permet d’accélérer sensiblement ce processus. En optant pour des outils de réponse automatiques, les entreprises peuvent identifier rapidement les comptes infectés et les désactiver en temps réel. Cette réactivité minimise la fenêtre d’opportunité qui s’ouvre aux cyberattaquants et réduit le risque d’amplification des dommages.

2. Forcer la réinitialisation des mots de passe

Dans de nombreux cas, les mots de passe constituent la première ligne de défense contre les tentatives d’accès non autorisé. En cas de violation d’identité, il est primordial de forcer la réinitialisation du mot de passe associé au compte compromis afin d’empêcher le pirate d’y accéder en utilisant les identifiants dont il s’est emparé.

Des règles automatisées peuvent être configurées pour déclencher la réinitialisation d’un mot de passe dès qu’une violation est détectée. Cette opération permet de gagner du temps tout en s’assurant que le processus de réinitialisation est lancé sans délai, minimisant ainsi le risque que le compte essuie une nouvelle tentative d’accès non autorisé.

3. Forcer la réinitialisation de l’authentification multifactorielle (MFA)

L’utilisation d’un outil d’authentification multifactorielle (MFA) ajoute une couche de sécurité en invitant l’utilisateur à saisir une clé de vérification en complément de son mot de passe. En cas de violation d’identité, il est important de forcer la réinitialisation de l’authentification multifactorielle pour le compte compromis. En d’autres termes, l’utilisateur devra à nouveau s’authentifier avec son outil MFA, invalidant ainsi tous les jetons d’authentification dont le cyberattaquant a pu s’emparer.

Les règles automatiques peuvent déclencher l’actualisation des tokens MFA afin de garantir que les comptes compromis sont rapidement réauthentifiés. Cette action empêche les cyberattaquants d’utiliser des tokens d’authentification volés pour accéder aux systèmes de l’entreprise.

4. Verrouiller un compte

Le verrouillage d’un compte compromis empêche les hackers de tenter d’utiliser le compte jusqu’à ce que le problème soit résolu. Cette opération donne également à l’entreprise le temps d’analyser la violation et d’appliquer les mesures correctives qui conviennent.

L’automatisation permet de rationaliser le processus de verrouillage des comptes en donnant aux entreprises la possibilité de verrouiller rapidement les comptes compromis dès qu’une violation est détectée. Cette réaction immédiate contribue à contenir la violation et à stopper d’autres tentatives non autorisées.

5. Révoquer une session

Outre la désactivation du compte utilisateur et la réinitialisation forcée du mot de passe, il est important de révoquer toutes les sessions actives associées à l’identité compromise. Cette action garantit que le cyberattaquant est immédiatement déconnecté de tous les systèmes auxquels il a pu accéder en utilisant les identifiants volés.

Il est possible de configurer des actions automatiques pour révoquer les sessions actives en temps réel et ainsi interrompre le processus d’accès illicite. Il s’agit d’une mesure cruciale pour neutraliser la violation et empêcher d’autres activités non autorisées.

https://www.sophos.com/