Un problème de sécurité majeur de mot de passe affecte 44 millions d'utilisateurs d'après une analyse de l'équipe de sécurité de Microsoft

L’étude de l’ensemble des données d’authentification a permis à l’équipe de recherche de lister les mots de passe les plus fréquemment utilisés, et donc ceux qui présentent les risques de réutilisation les plus importants. Elle a également effectué une recherche croisée avec l’écosystème utilisateur Microsoft. Au cours du premier trimestre 2019, Microsoft a déterminé que plus de 44 millions de comptes (dont Microsoft Azure et Microsoft Services) utilisaient les mêmes mots de passe que ceux trouvés au sein des bases de données compromises.

Un rapport publié par Microsoft avertit les utilisateurs des risques liés aux attaques appelées « attaque par rejeu des comptes compromis » (breach replay attacks ou encore credentials stuffing). Ce type d’attaque est employé par des acteurs malveillants qui essaient les mêmes identifiants compromis sur différents services afin de s’y connecter.

« Ce type d’attaque est de plus en plus courant », selon Eoin Keary, PDG d’Edgescan, qui a déclaré : « il parie sur l’habitude répandue des utilisateurs à réutiliser leurs mots de passe ».

Concernant les fuites d’informations découvertes au cours de cette analyse, Microsoft a confirmé que les consommateurs ne devaient « prendre aucune mesure supplémentaire », car l’éditeur avait déjà forcé une réinitialisation des mots de passe. Pour les utilisateurs professionnels, Microsoft a déclaré qu’ils alerteraient les administrateurs pour s’assurer qu’une réinitialisation des informations d’identification est appliquée.