Comment se protéger contre les attaques par dictionnaire ?

[garenfletch]

Bonjour.
J'aimerais savoir si les systèmes bancaires (en ligne surtout) sont assez sécurisés contre les attaques par Dictionnaire ???
Car j'ai mon compte bancaire et connaissant la capacité des véritables Hackers (et surtout les attaques par Brute Force ou par Dictionnaire), je me demande si un jour je ne verrai pas mon compte bancaire en ligne piraté ?

Si oui, c'est possible de pirater un compte bancaire en ligne par les attaques par Dictionnaire, quelle solution me conseillez-vous pour en échapper afin de mieux sécuriser mon compte en ligne ?

Merci.

[Horgh]

>Si oui, c'est possible de pirater un compte bancaire en ligne par les attaques par Dictionnaire

Non, regarde comment marche l'auth et tu verras.

[Martinooooo]

>véritables Hackers
>attaques par Brute Force

[Todd]

Il y a plein de manière de se faire pirater un compte bancaire en ligne, mais la plus facile n'est surement pas de s'attaquer directement à la banque !
Les fournisseurs (sites marchants) sont des cibles bien plus faciles et les usagés encore plus faciles.

Même les plus grands spécialistes cherchent la facilité et la rapidité. Le bruteforce est ni l'un, ni l'autre !
Ralenti après 3 tentatives erronées et blacklistés après une dizaine... l'envisager n'est même pas une solution.

Par contre, nos codes de carte bancaire trainent ici et là dans les bases de données de certains prestashop ou autres CMS mal configurés.
Sans compter, l'éternelle crédulité des internautes qui cliquent partout et téléchargent à tout va des cochonneries qui ouvriront l'accès à de simples comptes mails, où on y retrouve divers identifiants... menant aux fameuses données bancaires.

D'ailleurs, avis aux amateurs de réseaux sociaux.
La moindre porte laissée ouverte laissera le champs libre à tous ces pirates.

Todd

[voidstar]

Comme fait remarquer todd c'est lorsque tu utilises tes coordonnées bancaires (ou que tu accedes à ton interface client) que tu te fais détrousser.
Pour compléter ce qu'il disait sur le fait que tu laisses tes coordonnées bancaires un peu partout dans des bases de données vulnérables, il y a aussi l'eventualité ou tu utilises tes coordonnées bancaires ou que tu accedes à tes comptes via un ordinateur corrompu. Une technique très connue est le man in the browser mais devenu maintenant difficilement exploitable car faut vraiment cibler au cas par cas, car chaque banque pour différents pays à une interface avec des champs différents.
L'idéal reste d'avoir un autre vecteur d'authentification ou de confirmation totalement indépendant du pc comme un téléphone si ta banque permet ce système d'authentification.
Après sans se leurer la technique la plus utilisée est le social engineering.
Je te dirais comme ca en vrac si tu veux te sentir secure:
- Ne jamais mettre tes coordonnées bancaires ou que ce soit sur internet
- Si tu n'as pas le choix vaut mieux que ce soit des gros sites marchants connus ou passer par paypal et autre système dérivés
- Que tu fasses tes transactions sur un device sécure.
- Choisir une banque qui propose un peu plus qu'un login/mot de passe pour faire ses transactions (téléphone > pad externe > clavier virtuel)
- Te mettre en mode parano pour ne jamais être victime ingénierie sociale (du bon sens suffit généralement je pense)

[garenfletch]

ok merci à tous.

[etherlord]

L'idéal reste d'avoir un autre vecteur d'authentification ou de confirmation totalement indépendant du pc comme un téléphone si ta banque permet ce système d'authentification

A mitiger. Je préfère un token plutôt qu'un téléphone.

Actuellement, un téléphone, c'est souvent un smartphone. Donc, le propriétaire du smartphone a tendance à le connecter à son PC (logique : backup, etc...)

La majorité des malwares actuels qui ciblent les banquent, attaquent des 2 cotés : PC et Smartphone.

Sinon, heureusement certaines banques sont venues avec des solutions plutôt originales pour les payements par internet.

Il y a bien sûr la carte de crédit pre-pay, mais aussi les cartes de crédits virtuelles, qui peuvent être activées/désactivées par le client, cela limite grandement le
problème du stockage des informations sur un site marchand.

etherlord

[Todd]

mais aussi les cartes de crédits virtuelles

+1 !
J'aime beaucoup cette solution, car on ne prend de risque qu'à hauteur de l'achat.
On définit simplement le montant et la durée de validité pour obtenir un numéro de carte bancaire valide et temporaire.

Restera quand même les contrôles de base consernant le site auquel on se connecte pour effectuer la transaction.
Mais l'avantage est qu'en cas de vol de cette CB virtuelle, il reste une chance pour que le voleur ait les yeux plus gros que le ventre et qu'il pense avoir récupérer de fausses coordonnées bancaires.

Todd