Les pirates peuvent facilement utiliser des noms d'utilisateur et des mots de passe volés pour mener des cyberattaques, car de nombreux comptes en ligne n'utilisent toujours pas de contrôles d'authentification à deux facteurs conçus pour les aider à rester en sécurité.

L'authentification à deux facteurs (2FA) - ou l'authentification multifacteur (MFA) comme on l'appelle alternativement - est l'une des méthodes clés que les utilisateurs individuels et les organisations plus larges peuvent utiliser pour aider à protéger leurs comptes en ligne contre le piratage, même si leurs identifiants de connexion ont été divulgués ou volés.

Cependant, selon l'enquête DCMS sur les violations de la cybersécurité 2022, seul un tiers environ des organisations ont une exigence d'authentification à deux facteurs sur les comptes d'utilisateurs - le chiffre s'élève à 37% pour les entreprises et 31% pour les organisations caritatives.

Ainsi, environ les deux tiers des organisations n'ont aucune règle concernant l'authentification à deux facteurs, il est donc peu probable que les employés l'utilisent, laissant leurs comptes d'utilisateurs vulnérables aux cyberattaques et au piratage.

L'authentification à deux facteurs crée une couche de protection supplémentaire, obligeant les utilisateurs à utiliser un message texte, une application ou une clé matérielle pour confirmer que c'est bien eux qui tentent de se connecter à leur compte. Cela peut aider à empêcher les cybercriminels de se connecter à des comptes en ligne avec des mots de passe piratés ou volés.

Mais avec si peu d'utilisateurs équipant les comptes d'une authentification à deux facteurs, les cybercriminels pourraient accéder directement aux comptes s'ils ont les identifiants de connexion, si le nom d'utilisateur et le mot de passe sont volés à l'aide d'un courriel de hameçonnage, devinés parce qu'ils sont faibles ou tirés d'une donnée précédente décharger.

Les comptes piratés, en particulier ceux auxquels on accède à l'aide du protocole de bureau à distance, peuvent être utilisés pour voler des informations supplémentaires, ou être utilisés discrètement pour se déplacer sur le réseau et jeter les bases d'une attaque de malware ou de ransomware.

L'authentification à deux facteurs est plus largement utilisée dans certains secteurs que dans d'autres. Par exemple, les données du DCMS indiquent qu'il existe des politiques en place dans environ les deux tiers des entreprises du secteur de l'information et des communications, tandis que moins d'une entreprise sur cinq dans le secteur de l'alimentation et de l'hôtellerie a des règles à ce sujet.

Les autres secteurs où l'authentification à deux facteurs est faible sont les services publics, la production et la fabrication, où seulement 28 % des entreprises ont mis en place des politiques. Ces industries critiques sont déjà une cible tentante pour les cybercriminels - en particulier les gangs de rançongiciels - et le manque de protections supplémentaires sur les comptes les rend encore plus vulnérables.

À une époque où le gouvernement exhorte les organisations à se méfier des menaces de cybersécurité, il faut faire davantage pour garantir que l'authentification à deux facteurs et d'autres mesures de cybersécurité, telles que l'application de correctifs de sécurité en temps opportun, l'utilisation de mots de passe forts et la conservation d'un logiciel antivirus à jour – sont en place.

« Il est vital que chaque organisation prenne la cybersécurité au sérieux, car de plus en plus d'activités se font en ligne et nous vivons à une époque où les cyberrisques augmentent », a déclaré la cyberministre, Julia Lopez.

« Peu importe la taille de votre organisation, vous devez prendre des mesures pour améliorer la résilience numérique dès maintenant et suivre les conseils gratuits du gouvernement pour nous aider à assurer notre sécurité en ligne.»