« Chez Auth0, en tant que gestionnaire d’identifiants et de données de connexion, nous sommes dans une position unique qui nous permet d’observer les tendances et les évolutions de notre clientèle. Actuellement, environ 67 % de notre volume d’identification est considéré comme suspect, c’est-à-dire qu’il ressemble à une fraude d’application.

L’attaque par "credential stuffing" signifie que les cybercriminels profitent des informations personnelles divulguées lors d’une violation de données, afin de les exploiter massivement sur des sites internet. Cette pratique permet aux attaquants de trouver une multitude de combinaisons d’identifiants que les utilisateurs réemploient, et que les pirates informatiques testent sur des sites afin de pouvoir prendre le contrôle de ces comptes. Leurs procédés sont automatisés, de sorte qu’ils peuvent essayer des milliers d’identifiants simultanément. Cette escroquerie est avant tout basée sur les chiffres et les probabilités. En effet, si 0,01 % d’une liste d’identifiants est réutilisé sur un deuxième site internet, alors le cybercriminel peut prendre le contrôle d’un nombre important de comptes.

Les attaques par "credential stuffing" existent depuis longtemps. Ce qui est amené à changer, c’est la façon dont nous traitons ces menaces qui seront de plus en plus présentes. Ainsi, nous devons adopter des techniques d’atténuation des risques telles que l’authentification multi-facteur (MFA), qui apportent davantage de friction et les rendent plus performantes. Dans un monde idéal, l’utilisateur ne serait confronté qu’à des frictions occasionnelles et seulement quand cela est indispensable. Ainsi, plutôt que d’utiliser la MFA à chaque connexion, le client ne l’utilisera que lorsqu’il le jugera nécessaire. Par exemple, si vous êtes une entreprise française et que la plupart de vos utilisateurs se trouvent en France ou en Europe, et que vous constatez des pics de trafic importants de connexion en Asie, il est alors souhaitable de demander une vérification supplémentaire. »