Dans le monde du cybercrime, l'attaque par force brute est une activité qui implique des tentatives répétitives successives consistant à essayer diverses combinaisons de mots de passe pour pénétrer dans n'importe quel espace sécurisé par un mot de passe tel qu'un hébergement internet ou une adresse mail.
L'attaque par force brute est la méthode la plus simple pour accéder à un site ou à un serveur (ou à tout ce qui est protégé par mot de passe). C’est une méthode d'essai et d'erreur utilisée pour obtenir des informations telles qu'un mot de passe utilisateur ou un numéro d'identification personnel (PIN). Dans une attaque par force brute, un logiciel automatisé (Bots) est utilisé afin d’augmenter la puissance de calcul requise pour exécuter ce type d'attaques et générer un grand nombre de suppositions consécutives quant à la valeur des données souhaitées. Les attaques par force brute peuvent être utilisées par des criminels pour pirater des données chiffrées, ou par des analystes de la sécurité pour tester la sécurité du réseau d'une organisation.
Un exemple d'un type d'attaque par force brute est connu sous le nom d'attaque par dictionnaire, qui consiste à essayer tous les mots d'un dictionnaire. D'autres formes d'attaque par force brute peuvent essayer des mots de passe couramment utilisés ou des combinaisons de lettres et de chiffres. Dans le cas d’un cadenas à code, cela consisterait à tester toutes les combinaisons de chiffres possibles jusqu’à l’ouverture de celui-ci.
Une attaque de cette nature peut prendre beaucoup de temps et de ressources. D'où le nom « attaque par force brute » ; le succès est généralement basé sur la puissance de calcul et le nombre de combinaisons essayées plutôt que sur un algorithme ingénieux.
Les mesures suivantes peuvent être utilisées pour se défendre contre les attaques par force brute :
- Obliger les utilisateurs à créer des mots de passe forts et complexes
- Limiter le nombre de tentatives infructueuses de connexion d'un utilisateur en bloquant l'adresse IP
- Verrouillage temporaire des utilisateurs qui dépassent le nombre maximal spécifié de tentatives de connexion ayant échoué
