Des études récentes et une affaire qui a défrayé la chronique ont démontré la nécessité de prendre des précautions avec les mots de passe que vous utilisez sur Internet. François Cousteix, dit aussi Hacker-Croll, 23 ans, domicilié à Beaumont, dans le Puy-de-Dôme, s’est infiltré dans les comptes twitter de plusieurs personnalités, en utilisant divers procédés extrêmement simples. Il allait sur les pages des réseaux sociaux de ces personnalités, et récupérait toutes sortes d’information comme les dates de naissance, les noms des chiens, les peintres préférés, les noms de jeune fille des mères, etc. Il est relativement facile de se procurer les adresses internet de tout un chacun : beaucoup sont publiques (données par exemple dans les profils des réseaux sociaux comme facebook). On peut en déduire aussi pas mal, genre initiale du prénom + nom, @ gmail.com ou Yahoo.com, etc. Ou encore avec les extensions des entreprises dans lesquelles vous travaillez.
Avec ça, notre ami (qui se présente évidemment comme un bienfaiteur de l’humanité) entrait les adresses mails dans les réseaux sociaux comme twitter, puis faisait comme s’il ne se souvenait plus du mot de passe. Il cliquait sur le lien adéquat, on lui posait alors une question : nom de jeune fille de la mère, peintre préféré, etc. Vous devinez la suite : avec un peu de patience et les infos glanées précédemment, il finissait assez facilement par recevoir le mot de passe en question. Les talents de François Cousteix lui ont valu cinq mois de prison avec sursis, mais aussi de décrocher un job chez Rentabiliweb, un prestataire de solutions de micropaiement. Vous savez, ce fameux groupe dont une des filiales, Mailorama, s’est signalée en novembre 2009 par une distribution de billets de banque au Champ-de-Mars, qui s’est terminée par une émeute quand elle a été finalement interdite par la préfecture de police.
Ce qui prouve déjà que beaucoup de gens ne font pas vraiment attention, y compris parmi les personnalités (il a ainsi pu infiltrer le compte de Britney Spears et Barack Obama, et –ce qui est assez savoureux- les comptes des membres importants du board de Twitter). Les études diverses auxquelles je faisais allusion au début montrent par ailleurs que les mots de passe utilisés sont souvent des plus simples : 12345, ABCDEF, papa, etc. Et ce même dans les organismes, sociétés et administrations où la sécurité semble être une préoccupation essentielle. C’est l’histoire de la clé de la maison cachée derrière le pot de fleur : vous êtes sensé être le seul à le savoir, mais le jardinier, la femme de ménage et le rôdeur de passage ne sont pas nés de la dernière pluie...
- Utilisez un mot de passe d’au moins huit caractères, mélangeant lettres et chiffres. Il n’a pratiquement aucune chance d’être craqué, même avec des outils les plus sophistiqués.
- Si vous utilisez un mot dans votre mot de passe, ne prenez pas des mots simples, comme votre prénom ou votre nom, même en y ajoutant des chiffres.
- Si vous utilisez un mot de passe complexe, ne le laissez pas en évidence sur votre ordi, votre agenda ou collé avec un magnet sur la porte du frigo. A vous de trouver la procédure de sécurité adéquate pour le retrouver s’il vous arrivait de l’oublier. Par exemple en inventant un numéro de téléphone associé à un nom fictif dont les quatre ou cinq derniers chiffres sont les chiffres de votre mot de passe.
- Enfin, pour les questions associées à la procédure de récupération de votre mot de passe, arrangez-vous pour ne pas répondre des choses évidentes. Si on vous demande le nom de jeune fille de votre mère, et que vous mettez Napoléon comme réponse, ça devrait suffire pour laisser perplexes les petits génies qui passent leur temps à essayer de percer vos coffres-forts virtuels.
D’autres conseils ici, sur le site de Symantec.