Une nouvelle faille de sécurité permet aux pirates d'accéder aux comptes Google. Et ils le font sans avoir besoin de mots de passe

Un groupe d'experts en sécurité de la société CloudSEK a découvert un nouveau type de faille de sécurité qui permet quelque chose de particulièrement délicat : accéder aux comptes Google des utilisateurs sans avoir à connaître leurs mots de passe.

La vulnérabilité a été révélée pour la première fois sur une chaîne Telegram le 20 octobre 2023 et a ensuite été intégrée dans un outil de cybersécurité destiné aux pirates informatiques appelé Lumma Infostealer.

Les logiciels malveillants utilisent des cookies tiers pour obtenir un accès non autorisé aux données des utilisateurs. Cela permet ensuite aux pirates d'obtenir un accès continu au compte Google de l'utilisateur même si l'utilisateur modifie son mot de passe.

Le problème est que les cookies d'authentification de Google nous permettent de nous connecter à notre compte Google pour accéder confortablement et à différentes plateformes. sans avoir à saisir constamment le nom d'utilisateur et le mot de passe dans chacun d'eux. Grâce à cette méthode, les cybercriminels peuvent collecter ces cookies et contourner la protection 2FA (Two-Factor Authentication).

Google travaille déjà à résoudre le problème : les développeurs de Chrome, le navigateur le plus populaire du marché, ont indiqué dans un communiqué que "Google a pris des mesures pour sécuriser tout compte compromis détecté".

Google et CloudSEK ont tous deux une recommandation pour éviter les problèmes : "réinitialiser" ces informations d'identification. "Si vous pensez que votre compte peut être compromis, ou par mesure de précaution générale, déconnectez-vous de tous les profils du navigateur pour invalider les jetons de session en cours."

"Ensuite", poursuivent-ils, "changez votre mot de passe et reconnectez-vous pour générer de nouveaux jetons. Changer votre mot de passe bloque les accès non autorisés en invalidant les anciens jetons sur lesquels s'appuient les voleurs de données, fournissant ainsi une barrière cruciale pour que l'exploit continue de fonctionner."

Images | Solen Feyissa

À | Un ingénieur a été licencié et s'est vengé en causant un préjudice de 200 000 euros à son entreprise. Il a fini en prison