Comment dérober efficacement des données à un internaute ? Pendant un an, des chercheurs de l’université américaine Berkeley (Californie) et des salariés du célèbre moteur de recherche Google se sont penchés sur la question dans le cadre d’une étude commune. Pour comprendre le fonctionnement et les stratégies des hackers, l’étude s’est uniquement concentrée sur le piratage de comptes Google.

« Entre mars 2016 et mars 2017, nous avons analysé plusieurs marchés noirs consacrés aux données personnelles », précisent deux des auteurs de l’étude Kurt Thomas et Angelika Moscicki. La publication de ces résultats (disponibles ici en anglais) a pour objectif « d’améliorer la sécurité des internautes » précise l’entreprise.

Le « phishing », chouchou des pirates

Les chercheurs se sont intéressés à trois des techniques de piratage les plus connues et les plus courantes : le keylogging, le phishing (ou hameçonnage) et « la violation par un tiers ». La première consiste à installer un logiciel espion - un « keylogger » - qui permet d’enregistrer tout ce que l’utilisateur tape sur son clavier. Le second est une simple escroquerie utilisant des spams ou des sites Internet factices pour inciter les internautes à dévoiler des informations confidentielles, des numéros de comptes bancaires ou de cartes de crédit.

« Au total, notre recherche a permi d’identifier le piratage de 788.000 comptes grâce au keylogging, 12,4 millions de comptes ont été piratés grâce à l’hameçonnage et 3,3 milliards ont été usurpés par des méthodes dites de violation par un tiers », détaillent les chercheurs.

La technique qui semble poser le plus grand risque (et donc le plus grand intérêt pour les pirates) reste le phishing : 82 % des logiciels d’hameçonnage tentent de collecter l’adresse IP et les informations de géolocalisation de l’utilisateur.

67 millions de comptes sécurisés

Le taux de réussite de ces méthodes est estimé par Google entre « 7 et 25 % ». Le vol d’un mot de passe serait principalement lié à sa faiblesse, un grand nombre d’inscrits sur Google réutilisant par exemple leur adresse mail comme mot de passe.

«Nos résultats permettent aussi de mettre en lumière le poids de cette économie souterraine et la nécessité d’éduquer les internautes à la cybersécurité », concluent les chercheurs. Google a pu suite à cette étude procéder à la sécurisation de 67 millions de comptes en incitant les utilisateurs à favoriser la double sécurisation par SMS par exemple.