Ressources

Menaces sur l'identité

92 ressources sur ce thème.

AiTM assurance : mécanique d'attaque et parades concrètesL'AiTM en assurance vise les extranets courtiers et la gestion de sinistres. Mécanique du proxy inverse, actifs exposés et contre-mesures par parcours.
AiTM banque et finance : mécanique d'attaque et paradesComment une attaque AiTM traverse la SCA bancaire, ce que le lien dynamique DSP2 bloque réellement, et les parades applicables aux portails clients et pro.
AiTM éditeurs SaaS : mécanique d'attaque et parades cloudL'AiTM chez un éditeur SaaS vise les consoles d'administration et les jetons OAuth. Mécanique, risque de propagation multi-tenant et contre-mesures.
AiTM énergie : mécanique d'attaque et parades sur les accèsL'AiTM dans l'énergie vise les accès distants IT et les passerelles vers l'OT. Mécanique, actifs exposés, exigences NIS2 et contre-mesures applicables.
AiTM industrie et OIV : mécanique d'attaque et paradesL'AiTM dans l'industrie cible la chaîne d'approvisionnement et les portails d'ingénierie. Mécanique du relais, actifs de propriété industrielle et parades.
AiTM juridique : mécanique d'attaque et parades en cabinetL'AiTM en cabinet juridique vise la messagerie et les plateformes de pièces. Mécanique, atteinte au secret professionnel, fraude aux fonds et parades.
AiTM santé : mécanique d'attaque et parades à l'hôpitalL'AiTM en santé exploite les accès distants au dossier patient et les postes partagés. Mécanique, contraintes de soin et contre-mesures réalistes.
AiTM secteur public : mécanique d'attaque et paradesL'AiTM dans le secteur public cible les comptes agents et les téléservices. Mécanique du relais, fédération d'identité, marchés publics et parades.
Attaque AiTM : voler la session plutôt que le mot de passeL'attaque AiTM interpose un proxy inverse et capture le cookie de session après une authentification réussie. Infrastructure, chronologie, artefacts et parades.
Biométrie faciale face au deepfake vidéo : ce qui passeAttaque de présentation ou injection de flux : deux mécaniques distinctes contre la biométrie faciale. Ce que la détection de vivacité couvre vraiment.
Biométrie faciale face au deepfake vocal : angle mortLa biométrie faciale ne protège pas le canal téléphonique, que le deepfake vocal contourne par le helpdesk et la récupération de compte. Analyse et parades.
Biométrie par empreinte face aux attaques side-channelLes attaques par canaux auxiliaires visent l'implémentation du capteur d'empreinte, pas le doigt. Mécanique, cibles réelles et contre-mesures concrètes.
Certificat et carte à puce face à la menace quantiqueShor casse RSA et ECC, donc les certificats. Ce que la menace quantique change pour une PKI, ce qu'elle ne change pas, et le calendrier de migration.
Certificat et carte à puce face aux attaques side-channelLes canaux auxiliaires visent le composant, mais le vrai risque des certificats reste le magasin logiciel exportable. Mécanique, priorités et parades.
Clé de sécurité physique face au phishing : ce qui passeLa clé de sécurité physique bloque le phishing par liaison à l'origine. Ce qu'elle protège vraiment, ce qu'elle laisse passer et comment fermer les trous.
Credential stuffing assurance : mécanique et paradesEn assurance, le credential stuffing vise les comptes dormants des espaces assurés. Mécanique, monétisation des données de contrat et contre-mesures.
Credential stuffing banque : mécanique et parades réellesLe credential stuffing en banque sert surtout de reconnaissance avant la fraude. Mécanique du rejeu, limites de la SCA et contre-mesures par étape.
Credential stuffing énergie : mécanique et paradesDans l'énergie, le credential stuffing frappe les espaces clients et surtout les comptes techniques à secret par défaut. Mécanique et contre-mesures.
Credential stuffing industrie : mécanique et paradesDans l'industrie, le credential stuffing exploite les applications legacy sans MFA et les VPN historiques. Mécanique du rejeu et contre-mesures par palier.
Credential stuffing juridique : mécanique et paradesEn cabinet juridique, le credential stuffing vise la messagerie et les plateformes de pièces. Mécanique du rejeu, absence de supervision et parades simples.
Credential stuffing SaaS : mécanique et parades côté éditeurChez un éditeur SaaS, le credential stuffing frappe l'API d'authentification et le CIAM. Mécanique, coût d'infrastructure, détection et parades produit.
Credential stuffing santé : mécanique et paradesEn santé, le credential stuffing vise les portails patients et les comptes soignants partagés. Mécanique, exposition RGPD et contre-mesures applicables.
Credential stuffing secteur public : mécanique et paradesDans le secteur public, le credential stuffing vise les téléservices et la fraude aux aides. Mécanique du rejeu, contraintes d'accessibilité et parades.
Deepfake vocal assurance : mécanique de fraude et paradesLe deepfake vocal en assurance cible la déclaration de sinistre et le centre de relation client. Mécanique, points de bascule et contre-mesures concrètes.
Deepfake vocal banque : mécanique de fraude et paradesLe deepfake vocal en banque sert le faux conseiller et la fraude au président. Mécanique du clonage, limites de la biométrie vocale et parades concrètes.
Deepfake vocal énergie : mécanique de fraude et paradesLe deepfake vocal dans l'énergie vise l'astreinte et les consignes d'exploitation. Mécanique de l'appel, risque de manoeuvre indue et parades procédurales.
Deepfake vocal industrie : mécanique de fraude et paradesLe deepfake vocal dans l'industrie sert la fraude au fournisseur et l'appel au service achats. Mécanique, signaux de séquence et contre-mesures.
Deepfake vocal juridique : mécanique de fraude et paradesLe deepfake vocal en cabinet imite le client ou le confrère pour détourner des fonds de dossier. Mécanique, moment de vulnérabilité et parades opposables.
Deepfake vocal SaaS : mécanique de fraude et parades helpdeskChez un éditeur SaaS, le deepfake vocal cible le helpdesk pour faire réinitialiser une MFA. Mécanique de l'appel, parcours de récupération et parades.
Deepfake vocal santé : mécanique de fraude et paradesEn santé, le deepfake vocal exploite l'urgence clinique pour obtenir un accès ou une donnée. Mécanique de l'appel, cibles réelles et parades procédurales.
Deepfake vocal secteur public : mécanique et paradesDans le secteur public, le deepfake vocal imite l'autorité hiérarchique et le fournisseur. Mécanique de l'appel, mandat de paiement et parades applicables.
Facteur cognitif face à l'AiTM : ce qu'il laisse passerFace au proxy inverse, le facteur cognitif ne laisse rien de rejouable transiter. Ce qu'il bloque, ce que le vol de session laisse ouvert, et les parades.
Facteur cognitif face à la MFA fatigue : fin du réflexeLa MFA fatigue exploite l'approbation réflexe. Sans bouton à valider, le facteur cognitif casse l'automatisme — ce qu'il traite et ce qu'il ne traite pas.
Facteur cognitif face au credential stuffing : sans objetSans identifiant ni mot de passe, une liste de couples issue d'une fuite n'a plus de cible. Ce que l'approche IDless supprime, et ce qui subsiste.
Facteur cognitif face au deepfake vidéo : ce qui changeUn visage se synthétise, une méthode de résolution non. Comment le facteur cognitif traite le deepfake vidéo, l'injection de flux, et ses limites réelles.
Facteur cognitif face au deepfake vocal : ce qui changeUne voix clonée peut convaincre, elle ne sait pas faire. Comment le facteur cognitif déplace la preuve hors du canal vocal, et où subsiste le risque.
Facteur cognitif face au phishing : ce qu'il laisse passerLe facteur cognitif ne transmet aucun secret réutilisable, donc rien à hameçonner. Ce qu'il protège, ses limites réelles et les parades complémentaires.
Facteur cognitif face au vishing : rien à dicter au téléphoneLe vishing extorque des codes par téléphone. Une méthode de résolution non verbalisable retire la matière de l'attaque — et ce qu'elle ne traite pas.
Facteur cognitif face au vol de session : le vrai apportAucun facteur de connexion ne protège une session volée. Comment la preuve d'intention par action réduit la valeur d'un jeton dérobé, et ses limites.
Ingénierie sociale en entreprise : les leviers vraiment utilisésAutorité, urgence, réciprocité : les leviers d'ingénierie sociale employés en entreprise, les fonctions réellement ciblées et les contre-mesures qui tiennent.
Magic link face au spear phishing : ce qu'il laisse passerLe magic link supprime le mot de passe mais transmet un jeton par e-mail. Mécanique du spear phishing, jetons consommés par les scanners et parades.
MFA fatigue et push bombing : l'attaque de l'habitudeLe push bombing ne casse aucun chiffrement : il exploite l'automatisme d'approbation. Anatomie complète de l'attaque, variantes, signaux et parades.
MFA fatigue et push bombing chez les éditeurs SaaSAstreinte, consoles d'administration et impersonation support : pourquoi le push bombing vise les éditeurs SaaS et comment y répondre sous NIS2.
MFA fatigue et push bombing dans l'assurance : paradesExtranets courtiers, dossiers sinistres et RIB de règlement : comment le push bombing frappe l'assurance et quelles parades tiennent face à DORA.
MFA fatigue et push bombing dans l'énergie : paradesAstreintes, accès distants et télémaintenance : pourquoi le push bombing vise l'énergie, ce qu'exige NIS2 et quelles parades tiennent en exploitation.
MFA fatigue et push bombing dans l'industrie et les OIVPostes partagés en atelier, intégrateurs, 3x8 : comment le push bombing s'installe dans l'industrie, et quelles parades tiennent avec NIS2 et le CRA.
MFA fatigue et push bombing dans la banque : paradesLe push bombing vise les collaborateurs bancaires plus que les clients. Actifs ciblés, exigences DSP2 et DORA, et parades sur les chaînes de paiement.
MFA fatigue et push bombing dans la santé : paradesPourquoi le push bombing réussit en milieu hospitalier, ce qu'il vise dans le dossier patient, et les parades compatibles avec la continuité des soins.
MFA fatigue et push bombing dans le secteur juridiqueSecret professionnel, fonds clients et mobilité : pourquoi le push bombing vise les cabinets, et quelles parades tiennent sans alourdir le quotidien.
MFA fatigue et push bombing dans le secteur publicCollectivités et administrations face au push bombing : comptes cumulards, téléservices, marchés publics, et parades compatibles avec NIS2 et le RGPD.
MFA résistant au phishing : pourquoi la plupart des MFA sont contournéesToutes les MFA ne se valent pas face au phishing. Comprendre l'AiTM, le vol de session et la MFA fatigue, et ce qui rend réellement un facteur résistant.
Mot de passe face au brute force : portée et angles mortsLe mot de passe ne résiste au brute force que si trois conditions sont réunies simultanément. Ce qu'il protège, ce qu'il laisse passer, et pourquoi.
Mot de passe face au credential stuffing : les limitesLe credential stuffing ne devine rien : il rejoue des couples valides. Ce que le mot de passe protège encore, ce qu'il laisse passer, et comment répondre.
Mot de passe face au phishing : ce qu'il ne protège pasFace au phishing, la robustesse d'un mot de passe est hors sujet : il est fait pour être transmis. Ce qui protège encore, et ce qui change la donne.
Mot de passe face aux zero-day : portée et angles mortsUn zero-day ne devine pas un mot de passe : il le contourne ou le vole en masse. Pourquoi le secret statique aggrave l'incident, et ce qui le limite.
Notification push et MFA fatigue : la faille du réflexeLe push bombing transforme une protection en vulnérabilité. Mécanique de la MFA fatigue, cas Uber 2022, contre-mesures efficaces et limites du number matching.
Notification push face à l'AiTM : ce qui passe encoreLa notification push bloque un mot de passe volé seul, pas un proxy inverse qui relaie l'authentification en direct et capture le cookie de session.
Notification push face au phishing : protection réelleLe push neutralise la page de collecte d'identifiants, mais pas l'enrôlement frauduleux ni la récupération de compte. Ce qu'il protège vraiment, et où il cède.
Number matching : pourquoi il ne protège pas de l'AiTMLe number matching lie l'approbation à une tentative, pas à un destinataire : pourquoi un proxy inverse le satisfait, et quel contrôle prend vraiment le relais.
OTP par e-mail face au spear phishing : ce qui passeL'OTP par e-mail repose entièrement sur la sécurité de la boîte mail. Mécanique du spear phishing, cas du BEC et alternatives réellement efficaces.
Passkey / FIDO2 face à l'AiTM : ce qui tient, ce qui cèdeLa liaison à l'origine casse le relais d'authentification. Ce qu'un opérateur AiTM fait alors : rétrogradation du parcours et vol de la session émise.
Passkey / FIDO2 face à la menace quantique : où ça coinceLes passkeys reposent sur des signatures asymétriques que Shor met en cause. Ce qui est réellement exposé, ce qui ne l'est pas, et comment préparer la bascule.
Passkey / FIDO2 face au credential stuffing : bilan réelSans secret partagé, le credential stuffing perd son objet. Restent le mot de passe résiduel, la récupération de compte et le compte de synchronisation.
Passkey / FIDO2 face au phishing : la portée réelleLa passkey neutralise le vol d'identifiants par phishing. Le phishing ne disparaît pas pour autant : il vise l'enrôlement, le repli et le consentement.
Passkey / FIDO2 face au vol de session : l'angle mortUne passkey authentifie la connexion, pas ce qui suit. Comment le vol de jeton contourne FIDO2 et quelles parades ramènent le contrôle sur l'action.
Phishing chez les éditeurs SaaS : mécanique et paradesChez un éditeur SaaS, un compte interne hameçonné ouvre l'accès aux environnements clients. Cibles réelles, scénarios propres au modèle, parades applicables.
Phishing dans l'assurance : mécanique et paradesSinistres, extranets courtiers et données de santé : quels leurres fonctionnent en assurance, ce que l'attaquant en tire, et les parades sous DORA et RGPD.
Phishing dans l'énergie : mécanique et paradesLe phishing dans l'énergie vise l'accès distant et la chaîne d'approvisionnement industrielle. Leurres observés, exigences NIS2 et parades hiérarchisées.
Phishing dans l'industrie et les OIV : mécanique et paradesFraude au fournisseur, vol de propriété industrielle, accès d'ingénierie : les trois issues du phishing en industrie, et les parades sous NIS2 et CRA.
Phishing dans la banque : mécanique, SCA et paradesLe phishing bancaire vise le client et le collaborateur par deux chaînes distinctes. Comment la SCA est détournée, et quelles parades tiennent sous DSP2 et DORA.
Phishing dans le secteur juridique : mécanique et paradesFils de dossier détournés, fonds clients et secret professionnel : pourquoi le phishing réussit dans les cabinets, et quelles parades sont réalistes.
Phishing santé : mécanique de l'attaque et paradesPostes partagés, personnel en rotation, urgence permanente : le phishing santé exploite l'organisation du soin. Scénarios observés, cadre NIS2 et RGPD, parades.
Phishing secteur public : mécanique et paradesCollectivités et administrations : le phishing y vise les flux financiers et les données des administrés. Scénarios, contraintes de moyens, cadre NIS2, parades.
Session hijacking chez un éditeur SaaS : mécaniqueJetons OAuth, sessions d'administration, comptes de service : chez un éditeur, une session volée devient un incident client. Détection et parades concrètes.
Session hijacking dans l'assurance : mécanique et paradesExtranets courtiers, délégation de gestion, portails assurés : une session volée dans l'assurance donne accès à des données sensibles et à des flux d'indemnisation.
Session hijacking dans l'énergie : mécanique et paradesConsoles de conduite, accès distants de mainteneurs, sessions qui ne se ferment jamais : le vol de session dans l'énergie touche la disponibilité, pas les données.
Session hijacking dans l'industrie : mécanique et paradesPlans, nomenclatures, procédés : dans l'industrie, une session détournée sert d'abord à exfiltrer discrètement. Détection par l'usage et parades applicables.
Session hijacking dans la santé : mécanique et paradesPostes partagés, sessions maintenues ouvertes au poste de soins : dans la santé, le vol de session profite d'un arbitrage permanent entre sécurité et urgence.
Session hijacking en banque : mécanique et paradesEn banque, une session détournée contourne l'authentification forte sans la casser. Ce que la DSP2 impose, ce que DORA attend, et les parades applicables.
Session hijacking en cabinet juridique : mécaniqueSecret professionnel, dossiers M&A, mobilité permanente : une session détournée dans un cabinet expose des informations dont la valeur est immédiate.
Session hijacking secteur public : mécanique et paradesUn SSO mal cadré transforme une session volée en accès général aux applications métier. Ce que risquent les administrations et les parades applicables.
SMS-OTP face à l'AiTM : une protection sans effetContre un proxy inverse, le SMS-OTP ne ralentit même pas l'attaquant : le code est relayé en direct et la session capturée. Analyse et alternatives réalistes.
SMS-OTP face au phishing : facteur et canal d'attaqueLe SMS-OTP protège d'un mot de passe rejoué, mais le SMS est aussi devenu un vecteur d'hameçonnage. Analyse du double rôle et des parades applicables.
SMS-OTP face au rejeu : ce que le code protègeUn code à usage unique limite le rejeu, à condition d'être correctement implémenté et lié à l'opération. Erreurs fréquentes et rôle du lien dynamique DSP2.
SMS-OTP face au SIM swapping : un facteur déléguéLe SIM swapping ne s'attaque pas au système : il détourne la ligne chez l'opérateur. Pourquoi ce facteur dépend d'un tiers, signaux d'alerte et parades.
SMS-OTP face au vishing : un code se demandePar téléphone, un code SMS s'obtient en trois minutes. Mécanique du vishing sur OTP, rôle des automates d'appel, et pourquoi la consigne ne suffit pas.
TOTP face à l'AiTM : le bon progrès, au mauvais endroitLe TOTP corrige les défauts de transport du SMS mais reste relayable. Face à un proxy inverse, l'application d'authentification n'apporte aucun gain.
TOTP face au brute force : tout se joue côté serveurSix chiffres suffisent si le vérificateur limite les tentatives. Sans plafond ni invalidation, le TOTP devient devinable : paramètres critiques et contrôles.
TOTP face au phishing : la fausse impression de sécuritéL'application d'authentification ne protège pas du phishing : le code se recopie. Kits de collecte, codes de secours et enrôlement détourné, avec les parades.
TOTP face au rejeu : la fenêtre et ses angles mortsUn code TOTP n'est à usage unique que si le vérificateur le rend tel. Rejeu dans la fenêtre, portails partageant la graine, et rejeu de la session : les cas réels.
Vol d'identifiants : ce que disent vraiment les chiffresLes statistiques sur le vol d'identifiants convergent sur un point et divergent sur tout le reste. Comment les lire, et quels indicateurs internes construire.
Vol de session : ce qui reste possible après la MFAUn jeton de session volé permet d'agir sans repasser par l'authentification. Mécanismes de vol, signaux de détection et contre-mesures qui fonctionnent vraiment.

Une question sur votre contexte ?

Échangeons sur vos parcours d'authentification les plus sensibles.

Demander une démonstration