Les environnements de postes de travail partagés sont courants dans de nombreux secteurs, des terminaux de point de vente dans le commerce aux ordinateurs partagés dans les ateliers de fabrication, ou encore dans les établissements et services de santé, un secteur qui a été particulièrement ciblé par des cyberattaques au cours de ces derniers mois en France.

Selon Fabrice de Vésian, Sales manager France chez Yubico, bien qu'il y ait une question d’économies de coûts et d’augmentation de la productivité lorsque plusieurs collaborateurs partagent un même terminal, cela peut constituer une menace de sécurité importante pour les entreprises si des mesures de protection solides ne sont pas prises pour s'assurer que seuls les bons utilisateurs peuvent se connecter :

« Les successions d’équipes qui fonctionnent en roulement, les employés saisonniers et la collaboration au sein d’un même service entraînent souvent des pratiques d'espace de travail partagé non sécurisées, telles que des identifiants de connexion partagés ou des notes sur des post-its visibles avec des mots de passe écrits dessus.

Le secteur de la santé, notamment dans les hôpitaux ou les cliniques par exemple, comporte de nombreux postes partagés et s’est retrouvé de manière croissante dans le viseur des cybercriminels en quête de données personnelles fiables, et donc lucratives.

De manière générale, les informations d'identification restent une cible de choix lors d’une cyberattaque, avec 81 % des compromissions de données causées par des mots de passe volés ou faibles. Cela signifie que les informations d'identification statiques ne sont pas sécurisées.

L'authentification multifacteur (MFA) est une première ligne de défense facile contre les risques posés par les espaces de travail partagés, mais toutes ses formes ne sont pas égales.

Les méthodes de MFA traditionnelles, basées sur les mobiles, que ce soit via les SMS, les mots de passe à usage unique et les notifications push, sont très sensibles aux cyberattaques telles que le phishing, les attaques par force brute, les attaques Man-in-The-Middle (MiTM), les logiciels malveillants et l'échange de carte SIM.

Il faut être conscient que l’authentification multifacteur via un mobile présente plusieurs failles de sécurité importantes : il n'y a aucune garantie réelle qu'une clé privée se retrouve sur un élément sécurisé de l'appareil mobile.

Par exemple, un mot de passe à usage unique et une clé privée peuvent en effet être intercepté d'une manière ou d'une autre, et il est impossible d'assurer une preuve de possession. Au-delà de la sécurité, cette méthode d’authentification pose d'autres défis : les appareils mobiles peuvent manquer de batterie et leur utilisation peut même être interdite, en particulier dans les fonctions en contact direct avec les clients ou dans les zones à haute sécurité.

D'autre part, dans ces environnements sensibles, les utilisateurs ont parfois des gants, empêchant l'utilisation de certaines méthodes de connexion alternative telles que Windows Hello For Business, ou bien il arrive que l'usage d'un mobile y soit simplement interdit, rendant ces méthodes traditionnelles inutilisables.

Remplacer l’authentification multifacteur traditionnelle par des solutions modernes résistantes au phishing, telles que les clés de sécurité matérielles, est une stratégie efficace qui offre une protection accrue contre les attaques de plus en plus sophistiquées pour les environnements de postes de travail partagés ; un enjeu crucial au regard de l’omniprésence des cybermenaces qui planent sur les données au sein des organisations, tous secteurs confondus.»