2FA sauve 85 % des comptes X des botnets

L'authentification à deux facteurs bloque 85 % des attaques sur les comptes X : analyse de cas réel

Des chercheurs en sécurité ont surveillé une opération active de botnet ciblant les identifiants de connexion sur la plateforme X. En seulement 12 minutes, le système a testé plus de 720 000 combinaisons de connexion — mais 85,6 % des comptes sont restés protégés grâce à l'authentification à deux facteurs (2FA).

Étendue et mécanismes de l'attaque

Le botnet utilisait le credential stuffing, une technique automatisée qui exploite des couples identifiant-mot de passe volés lors de fuites de données antérieures. Au total, il a tenté près de 4,8 millions de connexions et compromis 138 comptes. L'infrastructure s'étendait sur 18 serveurs hébergés dans un sous-réseau géré par le fournisseur turc Komuta Savunma Yuksek Teknoloji Limited Sirketi à Ankara. Le panneau de contrôle, hébergé sur un serveur Hetzner (144.76.57.92:5000), était accessible publiquement sans aucune authentification, permettant une observation en temps réel.

Fonctionnalités clés du panneau de commande :

• Téléchargement de bases de données d'identifiants ;
• Démarrage/arrêt des campagnes de scan ;
• Visualisation des statistiques de violation ;
• Exportation des comptes compromis ;
• Accès aux mots de passe root des 18 serveurs via SSH.

La campagne s'est déroulée par vagues de décembre 2025 à janvier 2026, avec un pic le 24 février 2026. En outre, le serveur principal exposait les ports RDP, SMB et WinRM — des points d'entrée fréquents pour la propagation latérale.

Efficacité de la 2FA en chiffres

Quelle est la principale barrière de défense ? L’authentification à deux facteurs. Le botnet n’a pu prendre le contrôle que des comptes non protégés par la 2FA, ignorant automatiquement ceux qui en étaient dotés. Ce résultat confirme des études plus larges : une 2FA correctement mise en œuvre réduit jusqu’à 99 % les risques liés au credential stuffing.

Pourquoi cette attaque a-t-elle fonctionné ?

• La masse colossale de données divulguées (des milliards d’identifiants disponibles sur les marchés du dark web) ;
• La réutilisation massive des mêmes mots de passe par les utilisateurs ;
• 14,4 % des comptes visés n’avaient pas activé la 2FA.

Contexte de la menace et déploiement de l'infrastructure

Le credential stuffing évolue parallèlement à l’augmentation des violations de données. Selon le rapport DBIR 2025 de Verizon, 80 % des incidents impliquent des identifiants compromis ou faibles. Des indices comme la langue de l’interface ou les noms de serveurs marqués « Sunucu » pointent vers des acteurs malveillants régionaux basés en Turquie — nombreux à choisir Hetzner pour ses politiques d’enregistrement anonymes.

Aucun indicateur préalable n’a été détecté sur VirusTotal, ThreatFox ou AbuseIPDB, ce qui illustre comment les attaquants utilisent désormais des infrastructures « propres » pour éviter la détection. Pour le secteur, cela signifie que des plateformes comme X renforcent leur surveillance automatisée — mais la responsabilité individuelle reste essentielle.

Principales conclusions

• 85,6 % des attaques ont été bloquées par la 2FA, confirmant son rôle de protection de base indispensable ;
• Le botnet a compromis 138 comptes sur 4,8 millions de tentatives, uniquement en raison de l’absence d’authentification multifacteur ;
• Un panneau d’administration exposé a révélé les mots de passe root des 18 serveurs, mettant tout le réseau en danger ;
• Une activité continue depuis décembre 2025 souligne la montée en puissance du credential stuffing ;
• Les utilisateurs de X sont fortement encouragés à activer immédiatement la 2FA pour réduire leur exposition.

Conséquences et recommandations

Cet incident met en lumière la vulnérabilité des comptes non protégés par la 2FA — les attaquants ciblent toujours les proies les plus faciles. À l’échelle mondiale, on observe un investissement croissant dans l’authentification multifacteur (MFA). Les comptes compromis servent souvent à lancer des campagnes de phishing ou sont revendus sur des forums clandestins.

Les experts recommandent :

• Activer la 2FA partout où c’est possible (applications comme Google Authenticator ; SMS en secours) ;
• Utiliser des mots de passe uniques et robustes, gérés via des outils comme Bitwarden ou LastPass ;
• Surveiller son exposition personnelle via Have I Been Pwned.

Des cas concrets comme celui-ci accélèrent l’adoption de la 2FA : Google indique que son utilisation mondiale a atteint 70 % en 2025.

— Editorial Team