Comment un mot de passe se retrouve dans une fuite
Un mot de passe fuite rarement à cause de vous. Il fuite parce qu'un service auquel vous aviez ouvert un compte s'est fait pirater. Un forum, une boutique en ligne, un logiciel de facturation, une plateforme de réservation : dans tous les cas, l'attaquant repart avec la base de données des comptes.
Cette base contient les adresses e-mail et les mots de passe. Ces derniers sont normalement stockés sous forme d'empreinte, et non en clair. Mais beaucoup de services utilisent encore des méthodes de stockage obsolètes, qui permettent de retrouver le mot de passe d'origine en quelques heures avec du matériel courant. Une fois reconstitués, ces mots de passe sont revendus, puis finissent par circuler gratuitement dans des compilations de plusieurs milliards de lignes.
C'est pourquoi la question n'est pas de savoir si vous avez bien choisi votre mot de passe, mais s'il a déjà été exposé ailleurs. Vous n'avez aucun contrôle sur la sécurité des services auxquels vous confiez un compte, et vous n'êtes en général pas informé du piratage, ou seulement des mois plus tard.
Ce qu'un attaquant fait d'un mot de passe volé
Un mot de passe isolé n'intéresse personne. Ce qui intéresse l'attaquant, c'est le couple adresse e-mail et mot de passe, multiplié par des millions. Il l'utilise pour une attaque appelée bourrage d'identifiants, ou credential stuffing.
Le principe est mécanique. L'attaquant prend la liste des couples volés sur un site et les essaie automatiquement sur des centaines d'autres services : messageries, banques en ligne, réseaux sociaux, outils professionnels, accès à distance d'entreprise. Un programme teste des milliers de combinaisons par minute, réparties sur de nombreuses adresses pour ne pas déclencher les alertes.
Le taux de réussite est faible, souvent moins de 1 %. Mais sur dix millions de couples testés, cela représente des dizaines de milliers de comptes ouverts, pour un coût quasi nul. Il n'y a ni ciblage, ni expertise, ni acharnement contre votre entreprise en particulier : vous êtes simplement une ligne dans un fichier. C'est aussi la raison pour laquelle une petite structure est concernée autant qu'un grand groupe.
Lorsque le compte ouvert est une messagerie professionnelle, la suite est connue. L'attaquant lit la correspondance, apprend le fonctionnement de l'entreprise, puis détourne un paiement ou envoie des factures modifiées à vos clients. Notre article sur la compromission de boîte e-mail détaille ce scénario, qui commence presque toujours par un mot de passe réutilisé.
Pourquoi la réutilisation est le vrai danger
Le bourrage d'identifiants ne fonctionne que grâce à une habitude universelle : utiliser le même mot de passe à plusieurs endroits. Sans cette habitude, la fuite d'un forum resterait un problème limité à ce forum.
Un mot de passe unique par service transforme chaque fuite en incident isolé. Un mot de passe réutilisé sur dix services transforme la même fuite en compromission de dix comptes. La qualité du mot de passe ne change rien à cette mécanique : une phrase longue et complexe réutilisée partout est plus dangereuse qu'un mot de passe médiocre mais unique, parce qu'une fois exposée elle ouvre toutes les portes à la fois.
Les variantes ne protègent pas non plus. Ajouter le nom du site à la fin, incrémenter un chiffre ou remplacer des lettres par des chiffres sont des schémas que les outils d'attaque testent automatiquement. Un humain qui regarde deux de vos mots de passe devine généralement les autres.
La seule réponse réaliste est un gestionnaire de mots de passe. Il génère un mot de passe différent pour chaque service, les retient à votre place, et signale ceux qui ont fuité. Vous ne mémorisez plus qu'un seul mot de passe, celui du gestionnaire, qui doit être long et protégé par une double authentification.
Que faire si votre mot de passe est trouvé
Un mot de passe présent dans la base doit être considéré comme public. Il ne s'agit pas de le modifier légèrement, mais de le remplacer partout, dans cet ordre de priorité.
- Votre messagerie principale d'abord. C'est elle qui permet de réinitialiser tous les autres comptes. Tant qu'elle est exposée, sécuriser le reste ne sert à rien.
- Les accès financiers. Banque en ligne, plateformes de paiement, logiciel de comptabilité, portail de salaires.
- Les outils métier et les accès à distance. Logiciel de gestion, stockage en ligne, accès distant au réseau de l'entreprise.
- Tous les autres services où ce mot de passe, ou une variante, a pu servir.
Activez ensuite la double authentification partout où elle est proposée. Elle rend un mot de passe volé insuffisant à lui seul, et neutralise le bourrage d'identifiants même si vos identifiants sont déjà en circulation. Enfin, vérifiez les activités récentes de vos comptes : connexions inhabituelles, appareils inconnus, règles de transfert automatique créées dans votre messagerie. Si vous suspectez un accès effectif, notre dossier sur le vol de données décrit les conséquences possibles et vos obligations d'annonce.
La k-anonymité, expliquée simplement
Reste la question qui bloque légitimement tout le monde : comment vérifier un mot de passe sans le communiquer ? La solution s'appelle la k-anonymité, et elle repose sur une idée simple, se cacher dans la foule.
Votre navigateur commence par calculer une empreinte du mot de passe. Une empreinte est une suite de 40 caractères produite par un calcul à sens unique : le même mot de passe donne toujours la même empreinte, mais il est impossible de remonter de l'empreinte au mot de passe.
Au lieu d'envoyer cette empreinte, l'outil n'en transmet que les cinq premiers caractères. Le serveur interrogé renvoie alors la liste complète des empreintes connues qui commencent par ces cinq caractères, soit typiquement plusieurs centaines de résultats. Votre navigateur reçoit cette liste et y cherche lui-même la fin de votre empreinte.
La comparaison décisive a donc lieu sur votre appareil, jamais ailleurs. Le serveur sait qu'un visiteur s'intéresse à un groupe de plusieurs centaines de mots de passe possibles, sans aucun moyen de savoir lequel, ni même si le résultat était positif. C'est cette propriété, et non un engagement contractuel, qui rend l'opération sûre.
Pour situer plus largement le niveau de protection de votre entreprise, le check-up cyber couvre en douze questions les mesures qui comptent vraiment, et la page Outils rassemble nos ressources gratuites.