L’identité numérique, nouveau terrain de jeu des cybercriminels

L’identité numérique est devenue le nouveau champ de bataille. Les pirates ne se contentent plus de forcer les portes des comptes : ils infiltrent les processus mêmes qui les créent ou les restaurent. Une tendance alarmante, révélée par une enquête de Specops, montre comment les attaquants ciblent désormais les mécanismes de vérification d’identité, transformant une faille administrative en brèche systémique. Et si la prochaine grande cybermenace ne venait pas d’un malware, mais d’un simple formulaire de récupération de mot de passe ?

Le problème est aussi simple que redoutable. Les systèmes de vérification d’identité, qu’il s’agisse de la création d’un compte ou de sa récupération, reposent souvent sur des données personnelles accessibles publiquement : date de naissance, adresse, numéro de téléphone. Des informations que les pirates peuvent aisément usurper, surtout depuis l’explosion des fuites de données. L’attaque ne vise plus le login, mais l’identité elle-même. Un employé fictif, un faux profil LinkedIn, une demande de réinitialisation interceptée… Les scénarios se multiplient, et les entreprises peinent à suivre.

Prenons l’exemple des « fake workers ». Des attaquants créent de toutes pièces des identités professionnelles crédibles, puis les utilisent pour s’infiltrer dans les systèmes internes. Une fois à l’intérieur, ils peuvent exfiltrer des données, déployer des ransomwares ou même manipuler des processus métiers. Specops souligne que ces attaques sont d’autant plus dangereuses qu’elles exploitent des failles humaines : un service RH trop confiant, un processus de vérification trop laxiste, une culture d’entreprise qui privilégie la rapidité à la sécurité.

Les solutions existent, mais elles demandent un changement de paradigme. Les entreprises doivent adopter des méthodes de vérification plus robustes, comme l’authentification multifactorielle (MFA) renforcée, les preuves d’identité biométriques, ou même l’analyse comportementale pour détecter les anomalies. Certaines organisations vont jusqu’à exiger des vérifications en personne pour les comptes sensibles. Mais ces mesures ont un coût : en temps, en ressources, et parfois en expérience utilisateur.

Le vrai défi, cependant, est culturel. Tant que les entreprises considéreront la vérification d’identité comme une formalité plutôt qu’une priorité stratégique, les pirates auront toujours une longueur d’avance. L’identité n’est plus une donnée statique, mais un flux dynamique à protéger en permanence. Et dans un monde où les attaques se sophistiquent, la sécurité ne peut plus se contenter de verrous numériques. Elle doit repenser l’identité elle-même.

Sources

BleepingComputer From Fake Workers to Account Recovery: The Growing Identity Verification Risk