Près de la moitié des associations caritatives britanniques ont des mots de passe de salariés dans des collections criminelles d'identifiants — six sur dix parmi les plus importantes

Quelqu'un qui passe dans votre rue

C'est exactement ce que fait cette évaluation. Des mots de passe de salariés circulant dans des collections criminelles, c'est la clé sous le paillasson — cela ne signifie pas que quelqu'un s'en est servi, mais que quelqu'un d'autre sait où elle se trouve. Une page de connexion enregistrée à côté de ces mots de passe, c'est savoir quelle porte la clé ouvre. Un service accessible depuis Internet qui n'a pas besoin de l'être, c'est le portillon que personne ne se souvient d'avoir laissé ouvert.

Un mot de passe volé, c'est la moitié d'une intrusion

Un identifiant devient bien plus utile à un attaquant lorsque la même collection criminelle enregistre aussi la page où il s'utilise. Cette association est le constat le plus directement exploitable de cette étude — et il ne s'agit pas d'un sous-ensemble. Chaque organisation dont des identifiants de salariés sont exposés voit aussi ses pages de connexion internes enregistrées à côté : 65 sur 65 dans le groupe des plus connues, 99 sur 99 par revenus. Là où se trouve la clé, se trouve aussi l'adresse.

Dans un cas, ces pages comprenaient un portail de recrutement et une passerelle de bureau à distance — le genre de porte qui donne sur un réseau interne plutôt que sur un site web.

Une clé seule n'est pas d'une grande utilité pour un inconnu. Une clé accompagnée de l'adresse, c'est une autre affaire.

La correction est sans éclat et elle fonctionne : réinitialiser l'identifiant, imposer l'authentification multifacteur, révoquer les sessions déjà ouvertes.

Des budgets plus importants n'ont pas supprimé l'exposition

Les deux groupes obtiennent le même score externe moyen de 65. Des revenus plus élevés ne se sont pas traduits par une position externe visiblement meilleure — les différences tiennent aux détails, et elles vont dans les deux sens. Le groupe par revenus présente davantage d'exposition des identifiants ; le groupe des plus connues a davantage de services accessibles depuis Internet. Ce sont des différences d'exposition, pas de compétence.

Le risque d'usurpation est celui que ressentent les associations caritatives

Les associations caritatives dépendent particulièrement de la confiance, et un e-mail frauduleux convaincant peut exploiter le nom d'une association même lorsque celle-ci n'a pas été piratée. Environ un tiers de chaque groupe ne demande pas aux systèmes de messagerie destinataires de rejeter les messages falsifiés.

Passer à une politique contraignante coûte peu, mais ce n'est pas un interrupteur à basculer : identifiez les expéditeurs légitimes, surveillez d'abord, et seulement ensuite passez au rejet, afin que les e-mails légitimes de collecte de fonds, de CRM et des fournisseurs ne soient pas bloqués.

Ce que nous ne pouvions pas voir

Se tenir dans la rue ne dit rien de l'alarme, du coffre-fort ni des serrures des portes intérieures. Beaucoup de ces organisations disposent sans doute de bonnes protections que nous ne pouvons tout simplement pas observer.

La couverture était quasi complète plutôt que complète : 214 des 220 associations caritatives les plus connues et 232 des 236 plus importantes par revenus ont produit un résultat complet. Neuf organisations n'en ont produit aucun, et elles sont comptées comme non évaluées plutôt qu'écartées — chaque pourcentage est donc calculé sur l'ensemble des populations suivies, et aucun n'est flatté par un dénominateur plus petit.

La méthode complète, la population et les notes d'interprétation figurent dans la note de méthode.

Par où commencer

Le rapport complet présente sept étapes. Les trois premières apportent l'essentiel du bénéfice :

1. Vérifiez si des identifiants de salariés sont exposés et agissez en conséquence — réinitialisez, imposez l'authentification multifacteur, révoquez les sessions actives, en commençant par les fournisseurs d'identité, la messagerie, la finance, le CRM et l'accès à distance.
2. Imposez l'authentification multifacteur partout où cela compte — elle retire l'essentiel de sa valeur à un mot de passe volé.
3. Protégez votre nom contre les e-mails falsifiés — faites évoluer SPF, DKIM et DMARC vers une politique contraignante, après une phase de surveillance.

Les étapes quatre et cinq concernent les fournisseurs, et ce sont celles sur lesquelles un conseil d'administration peut agir sans aucun travail technique : savoir ce que chaque fournisseur important détient pour vous, et faire d'une information rapide sur les incidents, propre à l'association, une exigence contractuelle. L'assurance fournisseurs ne peut pas empêcher une défaillance dans les systèmes d'un tiers. Ce qu'elle peut faire, c'est raccourcir votre délai de réaction.

La conclusion utile

Ce n'est pas que les associations caritatives échouent. C'est qu'une grande part de la cyber-résilience repose sur de petites décisions maîtrisables — et que ce secteur part d'une forte confiance du public, de personnes engagées et d'aucun signe visible de compromission sur 380 organisations. C'est une courte liste de choses qui valent la peine d'être faites, et il reste du temps pour les faire.