L’utilisation d’informations incorrectes protège-t-elle vos comptes contre le piratage ?

Avec l’augmentation des vols de données et des cyberattaques, certaines personnes ont commencé à recourir à une astuce non conventionnelle pour protéger leurs comptes : saisir des informations incorrectes lors de l’inscription ou répondre à des questions de sécurité. C'est comme taper un faux nom pour votre professeur préféré, ou une réponse aléatoire à la question de savoir dans quelle ville vous êtes né. L'idée semble simple, mais elle soulève une question importante : ce type de « tromperie positive » contribue-t-il réellement à sécuriser vos comptes ? Dans cet article, nous explorons le concept sous tous les angles, expliquant quand il est efficace et quand il peut faire plus de mal que de bien.

Nous sommes en 2025 et malgré tous nos gestionnaires de mots de passe et nos clés d’accès, le vol de comptes en ligne est toujours courant. L’une des façons dont je me protège de ces attaques est la tradition ancestrale du mensonge.

Que sont les questions de sécurité ?

Les questions de sécurité sont une forme d’authentification multifacteur (AMF) où, après avoir saisi votre mot de passe, vous devez répondre à une question que « vous seul connaissez ». Ces questions incluent des faits tels que le nom de votre premier animal de compagnie ou votre ville natale. Il s’agit de l’une des plus anciennes formes d’authentification multifactorielle sur Internet en raison de sa simplicité.

Malgré leur âge et malgré la diffusion de méthodes d’authentification multifactorielle plus avancées, les questions de sécurité restent populaires en ligne. En fait, j’ai dû créer un compte important la semaine dernière, ce qui nécessitait de créer trois questions de sécurité différentes. Pour protéger la sécurité de mon compte, je ne leur ai pas répondu honnêtement.

Pourquoi les questions de sécurité sont-elles considérées comme non sécurisées ?

Bien qu’il s’agisse d’une méthode simple d’authentification multifacteur (MFA), elle est très simple. Cela repose en grande partie sur une fausse prémisse : que ces questions ne peuvent être répondues que par moi. Par exemple, de nombreuses personnes connaissent le nom de leur grand-mère à la naissance. On le trouve dans les archives judiciaires, les documents généalogiques, les nécrologies et qui sait où ailleurs.

J'ai remarqué que beaucoup de questions de sécurité supposent que vous n'avez pas grandi avec Internet. Si vous aviez accès à Internet lorsque vous étiez enfant, en particulier aux blogs et aux réseaux sociaux, vous trouverez probablement des publications sur votre premier animal de compagnie qui circulent encore. En fait, je sais exactement où vous pouvez chercher en ligne pour répondre à des questions comme celle-ci à mon sujet.

Vous pouvez appeler cela de l'intelligence open source, souvent abrégée en OSINT. Si vous en savez beaucoup sur OSINT, vous savez à quel point il est facile de trouver des informations précises sur quelqu'un sur Internet à l'aide d'outils simples.

En plus de naviguer sur Internet, pirater des questions de sécurité est aussi simple que d'avoir une conversation avec moi ou quelqu'un de proche de moi. C’est ce qu’on appelle l’ingénierie sociale. Par exemple, quelqu’un pourrait se faire passer pour une figure d’autorité, comme un agent des impôts, et me demander de « confirmer mon identité » en répondant à une question comme le nom de naissance de ma grand-mère. Pour éviter que vos questions de sécurité ne soient compromises, vous devez toujours être vigilant face à ces attaques cachées.

Mais nous pouvons aller plus loin. Supposons que vous et tous ceux que vous connaissez êtes familiers avec l’ingénierie sociale. Vous devez également comprendre que les personnes qui vous connaissent peuvent profiter de ce fait. Demandez à n’importe quelle personne ayant survécu à des abus : ce n’est pas parce que quelqu’un est proche de vous qu’il est digne de confiance. Supposer que quelqu’un suffisamment proche de vous pour connaître les réponses à vos questions de sécurité peut également être autorisé à accéder à votre compte est une autre fausse hypothèse concernant les questions de sécurité.

Le meilleur choix pour les questions de sécurité : mentir

Avec tout cela à l’esprit, j’ai arrêté de répondre honnêtement aux questions de sécurité. Si je dois utiliser une question de sécurité pour protéger mon compte contre le piratage, je réponds avec une réponse inventée et étrange. Où êtes-vous né? Narnia. Quel était mon premier animal de compagnie ? Un cerf nommé Bob. Ce ne sont pas mes vraies réponses bien sûr, mais vous comprenez l’idée.

Certains vont plus loin, ne mettant même aucun mot connu dans la réponse à la question de sécurité. Quel était le nom de naissance de votre grand-mère ? Peut-être H41%hg67Vc0s5^jQ. Cela revient à utiliser un mot de passe secondaire fort et rend votre question de sécurité résistante aux attaques par dictionnaire. Cependant, je ne suis pas entièrement convaincu que cela soit nécessaire, car mon fournisseur de compte en ligne verrouillera probablement mon compte si quelqu'un essaie plus de quelques suppositions pour la question de sécurité.

Eh bien, vous ne devriez rien faire de tout cela si vous n’êtes pas totalement sûr de pouvoir mémoriser vos réponses. Les questions de sécurité traditionnelles présentent un gros avantage : elles sont faciles à mémoriser. Mentir dans vos questions de sécurité vous prive de cet avantage, car vous devez désormais mémoriser des faits inexacts sur vous-même.

Il peut être utile d’écrire ces réponses, peut-être sous la forme d’un arbre généalogique ou d’une courte histoire décrivant une vie imaginaire. Si vous êtes comme moi, dessiner des images de personnes, de lieux et d’animaux imaginaires vous aidera également.

Bien sûr, assurez-vous de sauvegarder tout ce que vous écrivez dans un endroit sûr. Vous pouvez l'enregistrer dans un gestionnaire de mots de passe ou, pour plus de sécurité, dans un gestionnaire de mots de passe séparé. L’important est de ne pas perdre l’accès à votre compte tout en le gardant sécurisé.

L’utilisation d’informations incorrectes dans certains champs peut offrir un certain niveau de protection, notamment contre les attaques qui s’appuient sur des informations personnelles divulguées. Mais cela ne remplace pas l’utilisation de mots de passe forts, l’activation de l’authentification à deux facteurs et la surveillance régulière de l’activité du compte. Si vous décidez d'utiliser cette méthode, assurez-vous de documenter les fausses informations que vous avez utilisées dans un endroit sûr afin de ne pas perdre la possibilité de récupérer votre compte plus tard. Une astuce intelligente n’est complète que lorsqu’elle est réfléchie et intégrée à d’autres mesures de sécurité de base.