TA0006 Accès aux identifiants : voler plutôt que forcer

TA0006 Accès aux identifiants : voler plutôt que forcer

Neuvième tactique de la matrice ATT&CK Enterprise. L’objectif, selon le MITRE : l’adversaire cherche à voler des noms de comptes et des mots de passe. La définition ajoute l’observation qui explique tout le reste : employer des identifiants légitimes donne accès aux systèmes, rend plus difficile la détection, et offre l’occasion de créer d’autres comptes.

Explication de la marmotte

Il existe deux manières d’ouvrir un coffre : apprendre à percer les coffres, ou apprendre où le directeur range la combinaison. La seconde demande moins de talent, laisse moins de traces, et a cet avantage décisif que l’assurance ne considère même pas qu’il y a eu effraction. TA0006 est l’art de trouver où la combinaison est rangée.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Obtenir des identifiants valides, parce qu’ils transforment une intrusion en usage normal. C’est la tactique la plus rentable de la matrice, pour une raison simple : toutes les autres en deviennent plus faciles. Les identifiants volés servent à entrer, à rester, à monter en droits, à se déplacer sans rien casser, et à passer inaperçu puisque rien n’est anormal.

Un point mérite d’être posé d’emblée : l’essentiel de cette tactique ne consiste pas à casser des mots de passe, mais à les ramasser là où ils traînent (en mémoire, dans un fichier de configuration, dans un gestionnaire de secrets mal protégé, dans un dépôt de code).

Les techniques, et ce qu’elles couvrent

Dix-huit techniques, en cinq familles.

Ramasser sur la machine. T1003 (vidage des secrets du système d’exploitation) est la technique emblématique : extraire de la mémoire ou des bases locales les empreintes et les secrets des sessions ouvertes. T1555 (secrets des gestionnaires de mots de passe) vise les coffres applicatifs et les trousseaux ; T1552 (identifiants non sécurisés) couvre le cas le plus banal et le plus fréquent : mots de passe en clair dans un script, un fichier de configuration, une variable d’environnement ou un dépôt. Le site y consacre prévenir les secrets codés en dur dans Git et les secrets dans les dépôts, auxquels s’ajoute désormais le canal des assistants : la fuite de secrets dans les prompts.

Capturer en transit. T1056 (capture d’entrée, dont l’enregistrement de frappes), T1040 (écoute réseau) et T1557 (attaque de l’intercepteur), que le site traite dans attaque de l’intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS. T1187 (authentification forcée) consiste à provoquer une authentification de la victime vers un serveur contrôlé : mécanisme au cœur de l’attaque par relais NTLM, que seule la signature obligatoire bloque, et dont la page sur NTLM décrit l’héritage.

Voler des jetons plutôt que des mots de passe. T1528 (voler un jeton d’accès applicatif), T1539 (voler un cookie de session web), T1606 (forger des identifiants web) et T1558 (voler ou forger des tickets Kerberos). Cette famille est devenue la plus importante en entreprise, parce qu’un jeton valide contourne l’authentification multifacteur : le second facteur a déjà été fourni au moment où le jeton a été émis. Le site traite Kerberos dans Kerberos et KDC dans Active Directory, attaques et durcissement, les jetons dans gérer la durée de vie des jetons OAuth, la défense par liaison de clé dans DPoP, et le cas historique du vol de jetons à grande échelle dans la faille Facebook « Voir en tant que ». Les attributs du cookie, qui décident de ce qu’un vol permet, sont décrits dans attributs du cookie de session.

Contourner le second facteur. T1621 (génération de requêtes d’authentification multifacteur) est la fatigue par notifications : on valide finalement pour que ça s’arrête. T1111 (interception du second facteur) couvre le relais en temps réel d’un code à usage unique. T1697 (voler des mots de passe spécifiques d’application), ajoutée en version 20, nomme un angle mort connu des administrateurs : ces mots de passe dédiés à un logiciel, créés pour contourner une authentification forte que le logiciel ne sait pas gérer, et qui l’annulent donc par construction. La parade est l’authentification résistante à l’hameçonnage décrite dans déployer FIDO2 pour les comptes à privilèges et le chemin de déploiement du passwordless.

Forcer et exploiter. T1110 (force brute), qui inclut la projection de mots de passe et le rejeu d’identifiants fuités ailleurs : c’est le scénario de l’exfiltration à la DGFiP. T1212 (exploitation pour accès aux identifiants), T1649 (voler ou forger des certificats d’authentification) et T1556 (modifier le processus d’authentification), partagée avec la dégradation des défenses.

Ce qu’on peut détecter, et par quoi

L’accès à la mémoire des processus d’authentification. C’est l’un des signaux les plus fiables de toute la matrice : un processus qui ouvre le processus système détenant les secrets n’a presque jamais de raison légitime de le faire. L’EDR détecte bien ce comportement, et sa page dit comment il est contourné.

Les anomalies Kerberos et d’annuaire. Demandes de tickets de service en rafale, chiffrement faible demandé explicitement, ticket présenté sans demande préalable correspondante : ces écarts se lisent dans les journaux du contrôleur de domaine, à condition d’avoir activé la journalisation adéquate.

L’échec massif puis le succès unique. La projection de mots de passe produit un motif reconnaissable : un même mot de passe essayé sur des centaines de comptes, ce qui ne déclenche aucun verrouillage individuel. La détection se fait par agrégation par mot de passe, pas par compte : règle rarement écrite.

Les validations de second facteur inhabituelles. Une rafale de notifications refusées suivie d’une acceptation est le signal exact de la technique de fatigue. Il est simple à écrire et presque jamais présent.

Les secrets qui sortent. Pour les identifiants non sécurisés, la détection se fait en amont : analyse des dépôts, des images de conteneurs et des variables d’environnement, intégrée à la chaîne de construction plutôt qu’à la supervision.

Ce que le défenseur peut faire

Retirer la valeur du mot de passe. Une authentification résistante à l’hameçonnage, liée au matériel, rend inutile la moitié des techniques de la liste. C’est la mesure de plus fort rendement de toute la tactique.

Lier les jetons à quelque chose. Un jeton porteur volé fonctionne partout ; un jeton lié à une clé ou à un canal ne fonctionne que chez son titulaire : c’est l’objet de DPoP et des jetons liés au certificat client. Avec un corollaire : des durées de vie courtes et une révocation qui marche réellement.

Supprimer les mots de passe d’application. Ce sont des contournements permanents du second facteur ; leur inventaire est généralement court et oublié.

Centraliser les secrets applicatifs. Un coffre avec rotation : voir déployer Vault ou OpenBao et la gestion des secrets distribués, supprime la famille des identifiants qui traînent, qui est la plus fréquente de toutes.

Durcir ce qui provoque les authentifications. Signature obligatoire, désactivation des protocoles d’authentification anciens, et pour l’annuaire, le durcissement décrit dans la page Kerberos : sans cela, un attaquant obtient des empreintes sans jamais toucher à un mot de passe.

Sources

• TA0006, Credential Access, MITRE ATT&CK Enterprise v20 : objectif et dix-huit techniques.
• Jeu de données STIX Enterprise ATT&CK 19.2 pour les techniques antérieures ; jeu v20 pour T1697, ajoutée en octobre 2026.

🐝 Ce qui arrive si on s’en passe

Une organisation qui n’a pas pensé cette tactique croit que la sécurité des accès se résume à la robustesse des mots de passe. Elle impose donc douze caractères et un renouvellement trimestriel, et laisse à côté de cela des mots de passe en clair dans des scripts de sauvegarde, des jetons de session dont la durée de vie se compte en semaines, des mots de passe d’application créés pour contourner le second facteur, et un annuaire qui accepte encore les protocoles d’authentification des années 2000. L’attaquant n’a aucun mot de passe à casser : il ramasse. Le coût se manifeste au moment de la remédiation, qui est la plus difficile de toutes les tactiques : il ne suffit pas de changer un mot de passe, il faut renouveler l’ensemble des secrets touchés (comptes de service, clés, jetons, tickets, certificats), opération que personne n’a jamais répétée à froid et qui, mal conduite, interrompt la production tout en laissant subsister l’accès de l’attaquant.

🦫 Explication de la marmotte 🍫

Pour utiliser un système informatique, il faut prouver son identité : un mot de passe, un code reçu sur le téléphone, une clé de sécurité. Un attaquant qui obtient ces preuves n’a plus besoin de forcer quoi que ce soit : il se connecte, comme tout le monde.

L’idée répandue veut qu’on « casse » les mots de passe en essayant des milliards de combinaisons. C’est une petite partie du sujet. L’essentiel consiste à les ramasser là où ils se trouvent : dans la mémoire des machines où quelqu’un s’est connecté, dans les fichiers de configuration des applications, dans des scripts d’administration, dans des dépôts de code, et depuis peu dans ce que des employés confient à des assistants d’intelligence artificielle.

Une autre famille de techniques est devenue plus importante encore : le vol de jetons. Quand on se connecte à un service, on reçoit un jeton (un laissez-passer temporaire), qui évite de redemander le mot de passe à chaque page. Voler ce jeton permet d’entrer sans fournir le mot de passe ni le code de vérification, puisque ceux-ci ont déjà été présentés au moment où le jeton a été émis. C’est pourquoi l’authentification à deux facteurs, qui protège très efficacement la porte, ne protège pas de ce qui se passe après l’ouverture.

Deux contournements du second facteur méritent d’être connus. Le premier consiste à envoyer des dizaines de demandes de validation sur le téléphone de la victime, jusqu’à ce qu’elle accepte pour que cela s’arrête. Le second est administratif : certains logiciels anciens ne savent pas gérer l’authentification forte, et on crée pour eux un mot de passe spécial qui la contourne, mot de passe qui, s’il est volé, annule toute la protection.

La mesure la plus efficace consiste à employer des clés de sécurité physiques, qui ne peuvent pas être recopiées ni réutilisées ailleurs, et à faire expirer rapidement les jetons.

À lire aussi

• TA0008 Mouvement latéral : passer d'une machine à la suivanteLa tactique ATT&CK TA0008 : entrer et prendre le contrôle de systèmes distants dans le réseau. Neuf techniques, le rôle décisif de la segmentation, et ce qui distingue un déplacement d'attaquant d'une administration normale.
• TA0009 Collecte : rassembler ce qui sera voléLa tactique ATT&CK TA0009 : rassembler les données visées avant de les sortir. Dix-sept techniques, l'étape de regroupement qui précède l'exfiltration, et pourquoi c'est la dernière occasion d'intervenir.
• TA0007 Découverte : l'attaquant cherche où il est tombéLa tactique ATT&CK TA0007 : s'orienter dans l'environnement compromis. Trente-quatre techniques, pourquoi c'est la tactique la plus bruyante de la matrice, et comment en faire la meilleure fenêtre de détection.
• TA0043 Reconnaissance : ce que l'attaquant apprend avant d'entrerLa tactique ATT&CK TA0043 : rassembler de l'information pour préparer l'opération. Les douze techniques, ce qui est détectable et ce qui ne l'est pas, et ce que le défenseur peut réduire.

Pages voisines

La citent

• TA0007 Découverte : l'attaquant cherche où il est tombé
• TA0008 Mouvement latéral : passer d'une machine à la suivante
• TA0009 Collecte : rassembler ce qui sera volé
• CICD-SEC-2 : gestion des identités et des accès inadéquate
• CICD-SEC-6 : hygiène des identifiants insuffisante

TA0006 Accès aux identifiants : voler plutôt que forcer

Elle cite

• ⇄Lien dans les deux sens :MITRE ATT&CK : les quinze tactiques de l'attaquant
• TA0001 Accès initial : les onze façons d'entrer
• TA0003 Persistance : rester quand tout est redémarré
• TA0004 Élévation de privilèges : passer d'un compte ordinaire à l'administration
• TA0005 Furtivité : se fondre dans l'activité normale
• TA0112 Dégradation des défenses : casser ce qui surveille
• Arrêter de faire changer les mots de passe tous les trois mois

⇄ : les deux pages se citent l’une l’autre.