Détection du credential stuffing : défenses au niveau IP et schémas d’attaque

Les attaques de credential stuffing restent une menace tenace : elles exploitent des couples identifiant/mot de passe volés pour tenter d’accéder à des comptes sans autorisation. Les analyses comportementales et l’authentification multifacteur sont indispensables, mais l’observation des signaux réseau et la mise en place d’une détection robuste fondée sur l’adresse IP apportent une couche précieuse d’alerte précoce et de mitigation.

Comprendre les schémas d’attaque du credential stuffing

Le credential stuffing n’est pas une attaque uniforme. Il s’agit plutôt de campagnes orchestrées, dans lesquelles les attaquants combinent différentes techniques pour contourner les défenses et maximiser leurs chances de succès. Savoir reconnaître ces schémas est essentiel pour construire une défense efficace au niveau IP.

Une attaque par nature distribuée

Contrairement aux attaques par force brute classiques, souvent issues d’une seule adresse IP ou d’un petit nombre d’adresses, le credential stuffing est intrinsèquement distribué. Les attaquants font tourner de longues listes de proxy, de VPN et de machines compromises afin de répartir le volume d’attaque sur de très nombreuses adresses IP. Un simple rate limiting par adresse IP devient alors insuffisant s’il n’est pas enrichi par une intelligence plus fine.

Anomalies de trafic

Même si le volume de requêtes par IP reste faible pour éviter les limites simples, le volume agrégé visant les endpoints de connexion est souvent élevé. Les requêtes présentent aussi fréquemment des caractéristiques peu compatibles avec un comportement utilisateur légitime :

• Sauts géographiques inhabituels : lorsqu’un même compte tente de se connecter depuis des régions très éloignées, par exemple Tokyo puis Londres en quelques minutes, le signal est fort.
• Changements rapides de User Agent : les attaquants alternent souvent les User Agents pour imiter différents navigateurs ou appareils, ou utilisent des User Agents génériques très répandus. Des changements rapides et incohérents pour une même IP doivent toutefois attirer l’attention.
• Headers non standards : absence de headers attendus ou présence de headers atypiques, par exemple un X-Forwarded-For manipulé ou des headers Accept-Language trop génériques.
• Taux d’échec de connexion : ce n’est pas un signal strictement lié à l’IP, mais une adresse IP qui génère systématiquement un taux élevé d’échecs sur des comptes différents est un indicateur préoccupant. Cela suggère que la liste de l’attaquant ne correspond pas parfaitement à votre base utilisateurs.

Caractéristiques des adresses IP

Les attaquants s’appuient sur des infrastructures qui leur permettent de passer à l’échelle tout en masquant leur origine réelle. On retrouve donc souvent les mêmes caractéristiques côté IP :

• Nœuds de sortie proxy/VPN/TOR : ces services sont au cœur du credential stuffing. Ils permettent de faire tourner les IP et de compliquer le suivi. Les IP identifiées comme VPN commerciaux, proxy d’anonymisation ou nœuds de sortie TOR doivent être considérées comme à risque élevé.
• Plages d’hébergement et de datacenters : du trafic légitime peut bien sûr provenir de fournisseurs cloud, mais une hausse soudaine de tentatives de connexion issues de plages datacenter qui n’hébergent généralement pas d’utilisateurs finaux, notamment grand public, est suspecte. Les attaquants louent des machines virtuelles ou exploitent des serveurs compromis dans ces environnements.
• ASN/rDNS inhabituels : le trafic provenant d’Autonomous System Numbers (ASNs) rarement associés à des FAI grand public dans vos zones cibles, ou de noms rDNS indiquant clairement un hébergeur, comme ec2-xxx-xxx-xxx-xxx.compute-1.amazonaws.com, host-xxx-xxx-xxx-xxx.static.net ou vps.customer.cloudprovider.com, mérite une analyse plus poussée.
• Score de risque élevé : de nombreux services d’IP intelligence agrègent plusieurs signaux dans un score de risque unique. Une IP avec un score élevé cumule souvent plusieurs des caractéristiques ci-dessus, ce qui peut révéler un historique d’activité malveillante ou une utilisation fréquente par des attaquants.

Défenses au niveau IP contre le credential stuffing

Mettre en place des défenses IP efficaces suppose une surveillance continue et une approche multicouche, alimentée par des signaux d’IP intelligence en temps réel.

1. Classification et blocage IP en temps réel

Bloquer immédiatement les IP connues comme malveillantes, ou leur imposer une étape de vérification supplémentaire, constitue une première ligne de défense essentielle. Cela implique de classifier le trafic entrant à partir de différentes listes et signaux de réputation IP :

• Détection des nœuds de sortie proxy/VPN/TOR : toute IP identifiée comme proxy actif, VPN ou nœud de sortie TOR doit faire l’objet d’un contrôle renforcé. Sur des endpoints critiques comme les pages de connexion, bloquer ces IP ou afficher un CAPTCHA peut réduire sensiblement la surface d’attaque. Certes, certains utilisateurs légitimes utilisent des VPN, mais sur des cibles à forte valeur, le niveau de risque peut justifier cette friction.
• Identification des fournisseurs d’hébergement et datacenters : les IP appartenant à des hébergeurs, services cloud ou grands datacenters doivent être signalées. Si une part importante des tentatives de connexion provient de ces plages, surtout en dehors du trafic API attendu, il s’agit d’un indicateur fort d’automatisation.
• Listes d’IP malveillantes : des listes régulièrement mises à jour d’IP impliquées dans du spam, des botnets ou d’autres activités abusives permettent de bloquer préventivement des sources déjà connues.

2. Scoring de risque IP

Les scores de risque IP offrent une vue consolidée du niveau de menace potentiel associé à une adresse. Ils sont généralement calculés à partir d’une combinaison de facteurs :

• Historique d’abus : signalements antérieurs impliquant l’IP dans des activités malveillantes.
• Type d’infrastructure : IP résidentielle, datacenter, VPN, etc.
• Incohérences de géolocalisation : écarts entre la localisation déclarée et la localisation réellement observée.
• Anomalies comportementales : schémas inhabituels détectés sur un réseau de systèmes surveillés.

Intégrer un score de risque dynamique dans le parcours d’authentification permet d’adapter la réponse. Par exemple, au-delà d’un certain seuil, une IP peut déclencher :

• Des challenges CAPTCHA obligatoires.
• L’activation de la MFA, même lorsqu’elle est optionnelle pour les autres utilisateurs.
• Une limitation temporaire du nombre de tentatives de connexion depuis cette IP.
• Un blocage complet pour les scores les plus élevés.

3. Rate limiting contextualisé

Un simple rate limiting en requêtes par seconde et par IP se contourne facilement. Une approche plus avancée consiste à y intégrer l’IP intelligence :

• Limites selon le type d’IP : appliquer des seuils plus stricts aux IP identifiées comme proxy, VPN ou IP de datacenter qu’aux IP issues de FAI résidentiels.
• Rate limiting par ASN : surveiller et limiter le trafic provenant d’ASNs qui présentent un volume anormalement élevé de tentatives de connexion, notamment lorsqu’ils ne correspondent pas à votre base utilisateurs habituelle.
• Limites par compte : limiter les échecs de connexion par compte, quelle que soit l’IP utilisée. Cette mesure aide à contenir les attaques dans lesquelles les attaquants font tourner les IP tout en ciblant les mêmes comptes.

4. Analyse comportementale enrichie par le contexte IP

L’analyse comportementale dépasse le seul champ de l’IP intelligence, mais le contexte IP en renforce nettement la précision. Par exemple :

• Écarts de géolocalisation : alerter ou challenger un utilisateur si des tentatives de connexion à son compte proviennent d’une IP située très loin de sa dernière connexion connue ou de son adresse déclarée, surtout si cette IP est également signalée comme proxy ou VPN.
• Combinaisons User Agent/IP inhabituelles : signaler les situations où une même IP alterne rapidement entre plusieurs User Agents très différents tout en tentant de se connecter à différents comptes.

Limites et points d’attention

Aucune défense ne suffit à elle seule. L’IP intelligence est un levier puissant, mais elle comporte aussi des limites :

• Proxy résidentiels : l’essor des proxy résidentiels, légitimes comme illicites, signifie qu’une partie du trafic d’attaque peut provenir d’IP ressemblant à celles d’utilisateurs domestiques ordinaires. La frontière entre trafic légitime et malveillant devient alors plus floue. Ces IP conservent toutefois souvent d’autres signaux, comme un rDNS atypique ou une appartenance à certains réseaux de proxy.
• Rotation d’IP : les attaquants changent fréquemment d’adresse IP, ce qui impose des mises à jour en temps réel et une couverture large de la part des services d’IP intelligence.
• Faux positifs : le blocage agressif de plages IP entières, par exemple des sous-réseaux complets de fournisseurs cloud, peut bloquer par erreur des utilisateurs ou partenaires légitimes. Un réglage fin et un suivi attentif du taux de faux positifs sont indispensables.

Une détection efficace du credential stuffing repose sur la combinaison de plusieurs techniques, et l’IP intelligence en constitue l’un des piliers. En comprenant les schémas propres au trafic d’attaque et en exploitant des signaux comme l’ASN, le hostname rDNS, les plages d’hébergement, le statut de nœud de sortie TOR et un score de risque complet, les organisations renforcent nettement leur capacité à détecter et neutraliser ces menaces.

Pour vérifier le profil de risque d’une adresse IP, vous pouvez utiliser l’outil gratuit de recherche IP disponible sur la page d’accueil de Guarda, sur guarda.net.