Non, tous les MFA ne sont pas vulnérables au prompt bombing

L’IDSA (Identity Defined Security Alliance) a récemment publié un rapport sur les tendances 2022 en matière de sécurisation des identités numériques. Parmi les 500 professionnels de l’informatique interrogés, 84 % ont déclaré que leur organisation avait subi une usurpation d’identité au cours de l’année écoulée¹. Une augmentation de 5 points comparée au rapport de l’année précédente.

Comment fonctionne le prompt bombing ?

Pour accéder aux données de leurs cibles, les pirates se procurent illégalement des informations d’identification valides. Lors de la tentative de connexion, ils misent sur le fait que l’utilisateur validera l’authentification à force d’être “bombardé” de demandes. On parle alors de “MFA Fatigue” pour caractériser la lassitude des utilisateurs face à ces innombrables notifications.

Cela paraît trivial mais a pourtant fonctionné avec Uber. L’attaquant a utilisé les données de connexion d’un employé et en a profité pour lui envoyer des notifications push de manière agressive. Avant de valider l’opération en question, l’utilisateur a même été contacté sur WhatsApp par un soi-disant membre de l’équipe informatique de son entreprise, lui demandant d’accepter la notification pour qu’elle cesse. C’est une forme d’ingénierie sociale.

Une tentative de prompt bombing réussie peut offrir aux hackers la possibilité d’ajouter leur appareil au compte piraté et de retirer les accès à l’utilisateur d’origine. Selon les autorisations que possède la victime dans l’entreprise, les pirates peuvent accéder et exploiter un nombre plus ou moins important de données et ressources confidentielles.

Lutter contre le prompt bombing avec le MFA inWebo

Désactiver les notifications push

Le système d’authentification multi-facteurs d’inWebo permet de désactiver les notifications push et de laisser l’utilisateur se rendre de lui-même dans l’espace de validation des tentatives de connexion. Sans sollicitations intempestives, il est protégé des attaques de type prompt bombing.

Générer un mot de passe à usage unique (OTP)

Les méthodes décrites ci-avant peuvent voir leur efficacité démultipliée grâce au “One-time password” (OTP) d’inWebo. Ce système impose à l’utilisateur de générer un mot de passe à usage unique sur son mobile. Cet OTP doit ensuite être saisi sur le navigateur de confiance. Sans aucune sollicitation externe, en passant par une chaîne d’appareils certifiés, la connexion aux données les plus sensibles est protégée au plus haut niveau.

Sensibiliser et former les utilisateurs aux bonnes pratiques

Certains clients d’inWebo ont par exemple lancé des campagnes en s’appuyant sur la capacité de notre API à envoyer des notifications push. Avec un simple script, les administrateurs simulent des attaques de prompt bombing sur tout ou partie des utilisateurs de la solution. Ils détectent de cette manière les utilisateurs qui signalent correctement cette attaque ou, au contraire, ceux qui y cèdent. Cela permet ensuite de cibler et d’adapter les messages de sensibilisation à la maturité technologique des différents publics.

Renforcez vos infrastructures de sécurité avec inWebo Browser Token

Cette année, 82% des violations de données ont impliqué un facteur humain². Tels sont les résultats du rapport 2022 sur les enquêtes relatives aux violations de données, réalisé par Verizon. Cette étude basée sur 23 000 incidents et 5 200 violations confirmées dans le monde souligne l’importance des programmes de sensibilisation. Le cas Uber est en ligne avec les résultats de cette enquête.