"Sécuriser vos comptes : mots de passe, 2FA et SIM swap"

Votre compte sur une plateforme d'échange, et la messagerie qui se trouve derrière, sont protégés par un identifiant. La plupart des vols de comptes viennent de mots de passe réutilisés, de méthodes de double authentification faibles et de numéros de téléphone détournés. Cette leçon comble ces failles.

Les mots de passe

Un mot de passe par compte. Quand un site subit une fuite, les attaquants essaient les mots de passe dérobés partout ailleurs. Un mot de passe réutilisé n'est pas plus sûr que le site le plus faible où vous l'avez utilisé.

Utilisez un gestionnaire de mots de passe. Il crée des mots de passe longs et aléatoires et s'en souvient pour vous. Vous ne retenez qu'un seul mot de passe principal solide. Le guide de sécurité d'ethereum.org l'affirme : « Nous recommandons vivement d'en utiliser un. »

Faites un mot de passe principal long. Plusieurs mots aléatoires sont plus difficiles à casser qu'un mot de passe court et compliqué.

Une exception, tirée de la Leçon 30 : votre phrase de récupération ne va pas dans un gestionnaire de mots de passe.

La double authentification

La double authentification, ou 2FA, demande quelque chose que vous possédez en plus de votre mot de passe. Les méthodes ne se valent pas. L'agence américaine de cybersécurité, la CISA, les classe ainsi :

Méthode	Solidité	Faiblesse
Clé de sécurité ou passkey	La plus solide. Résiste à l'hameçonnage	Il faut en garder une de secours
Application d'authentification	Bonne	Un faux site peut encore capter un code
SMS ou appel	La plus faible	SIM swap et interception

Une clé de sécurité vérifie l'adresse réelle du site avant de répondre, elle ne vous connectera donc pas à un faux site. C'est pourquoi la CISA qualifie ce type de « référence absolue ».

Utilisez la méthode la plus solide que propose chaque service. N'importe quelle 2FA vaut mieux que rien.

Le SIM swap

Lors d'un SIM swap, un criminel convainc votre opérateur mobile de transférer votre numéro sur sa propre carte SIM. Il peut se faire passer pour vous, soudoyer un employé ou duper le personnel. Votre téléphone perd le réseau, et lui reçoit vos appels et vos SMS.

Il demande ensuite à votre messagerie ou à votre plateforme de réinitialiser le mot de passe, et le code arrive sur son téléphone.

Le FBI a reçu 1 611 plaintes pour SIM swap en 2021, pour des pertes de plus de 68 millions de dollars.

Défenses

N'utilisez pas les SMS comme 2FA sur les comptes importants.
Retirez votre numéro de téléphone des options de récupération quand le service le permet.
Demandez à votre opérateur un verrouillage de portabilité ou un code PIN de compte.
Si votre téléphone perd le service sans raison, contactez immédiatement votre opérateur depuis une autre ligne.

Votre messagerie est la clé maîtresse

Qui contrôle votre messagerie peut réinitialiser presque tout le reste. Donnez-lui votre meilleure protection : un mot de passe unique, une clé de sécurité ou une application d'authentification, et aucun SMS de secours.

Le reste de la liste

Conservez les codes de secours. Imprimez les codes de récupération que fournit chaque service et gardez-les hors ligne.
Activez les listes blanches de retrait. Voir la Leçon 35.
Tenez vos appareils à jour. Installez rapidement les mises à jour du système et du navigateur.
Restez discret. Le FBI comme la SEC déconseillent de dire quelles cryptos vous détenez. La publicité fait de vous une cible.
Ne partagez jamais un code. Aucun vrai employé ne vous demandera votre mot de passe ni votre code 2FA.