From Fake Workers to Account Recovery: The Growing Identity Verification Risk

La vulnérabilité de l’identité : au-delà de l’authentification forte

Les cyberattaquants contournent désormais les systèmes d’authentification robuste (MFA) en exploitant les failles des processus de vérification d’identité humaine, notamment lors de l’intégration de nouveaux collaborateurs (onboarding) ou des procédures de récupération de compte.

Points clés :

• Ingénierie sociale : Les groupes comme Scattered Spider utilisent la manipulation pour usurper l’identité d’employés réels auprès du service informatique (service desk) afin de réinitialiser des mots de passe.
• Fraude à l’embauche : Des acteurs étatiques (ex: travailleurs informatiques nord-coréens) utilisent des documents d’identité falsifiés ou des profils synthétiques pour infiltrer des entreprises de technologie.
• Limites des méthodes actuelles : Les questions de sécurité classiques (nom de l’animal, école) sont inefficaces car les données sont facilement récupérables via les réseaux sociaux ou des fuites de données.
• Menace de l’IA : L’usage de deepfakes, de clonage vocal et d’images manipulées rend l’usurpation d’identité de plus en plus difficile à détecter pour les agents de support.

Vulnérabilités :

• Absence de CVE spécifique : Il ne s’agit pas d’une vulnérabilité logicielle classique, mais d’une faille de processus (process vulnerability). Le risque repose sur la confiance accordée à des preuves d’identité facilement falsifiables ou volées lors des interactions humaines avec le service desk.

Recommandations :

• Renforcer la vérification aux moments critiques : Appliquer des protocoles de vérification plus stricts uniquement pour les opérations à haut risque (nouveaux comptes, réinitialisations de comptes privilégiés).
• Déploiement de solutions biométriques : Intégrer des outils combinant l’analyse de documents officiels (scan de pièces d’identité) avec la détection de “vivacité” (liveness detection) biométrique pour confirmer la présence physique réelle de l’interlocuteur.
• Réduction de la dépendance humaine : Automatiser les vérifications d’identité via des solutions technologiques de confiance pour éviter que les agents du support ne se fient uniquement à leur propre jugement face à des techniques de manipulation sophistiquées.

Source