Le danger sous-estimé du piratage de mots de passe : pourquoi les entreprises devraient vérifier régulièrement les fuites de mots de passe
Un seul mot de passe compromis peut mettre en péril l’ensemble du réseau d’une entreprise. Pourtant, de nombreuses organisations continuent de mettre l’accent sur la longueur et la complexité des mots de passe. En revanche, la question de savoir si un mot de passe a déjà figuré dans une fuite de données n’est souvent pas examinée du tout , alors que c’est précisément là que réside l’une des plus grandes menaces pour la sécurité.
Des mots de passe volés peuvent circuler pendant des années
De nombreuses entreprises investissent massivement dans les pare-feu, la sécurité des terminaux (endpoint security) et l’authentification multifacteur (MFA). C’est essentiel, mais même la meilleure architecture de sécurité n’est que d’une utilité limitée si les attaquants disposent déjà d’identifiants de connexion valides.
C’est pourquoi il est important de vérifier que les mots de passe que vous utilisez peuvent encore être considérés comme sûrs. Par exemple, l’outil PasswordListCheck de binsec.tools permet de vérifier si un mot de passe a déjà figuré dans l’une des bases de données de fuites connues. Il le compare notamment à la célèbre liste RockYou.txt. Votre mot de passe ne quitte jamais votre navigateur web : l’outil se contente de générer une empreinte SHA-1 et de la comparer aux jeux de données disponibles.
Une autre ressource largement reconnue dans ce domaine est HaveIBeenPwned. Bien que cette plateforme soit principalement conçue pour vérifier si une adresse e-mail a été compromise lors d’une fuite de données antérieure, elle illustre la nécessité plus large de surveiller les identités numériques. Vérifier à la fois la sûreté d’un mot de passe et l’exposition de l’adresse e-mail associée offre une vision plus complète du niveau de sécurité d’un compte.
À première vue, cela peut sembler un détail. En réalité, c’est précisément cette étape qui empêche que des identifiants volés soient exploités à l’insu de leur propriétaire, parfois pendant de longues années.
Marks & Spencer : une attaque grave, lourde de conséquences
Au printemps 2025, un incident survenu au Royaume-Uni a démontré le coût réel d’identifiants de connexion compromis. Le distributeur Marks & Spencer a dû arrêter une partie de ses systèmes informatiques à la suite d’un piratage. Pendant des semaines, la vente en ligne a été restreinte, certaines commandes n’ont pas pu être honorées et plusieurs opérations internes ont été paralysées.
Selon les experts en sécurité, les pirates ont d’abord accédé à des comptes utilisateurs avant de progresser dans l’infrastructure de l’entreprise. L’incident a provoqué non seulement des problèmes techniques, mais aussi un préjudice financier considérable et une perte de confiance chez de nombreux clients.
Surtout, cette attaque a également démontré que même les grandes entreprises dotées de mesures de sécurité de pointe restent vulnérables dès lors que des comptes utilisateurs sont compromis.
Des incidents qui ne sont plus isolés
Marks & Spencer n’a pas été la seule cible. Co-op et Harrods ont également déclaré avoir subi des cyberattaques peu de temps après. L’impact de chaque incident a varié d’un cas à l’autre, mais le schéma était identique : à chaque fois, des criminels ont tenté d’accéder aux systèmes internes via des comptes utilisateurs et de l’ingénierie sociale.
De telles attaques ne constituent plus une anomalie. Les identifiants de connexion volés sont revendus sur des forums clandestins, testés automatiquement contre des services en ligne et exploités avec succès, encore et encore. Ils proviennent souvent de fuites de données remontant à de nombreuses années. C’est exactement pour cette raison qu’une vérification unique du mot de passe au moment de sa création ne suffit pas.
« Long » ne veut pas automatiquement dire « sûr »
De nombreuses entreprises exigent désormais des mots de passe d’au moins douze caractères, incluant caractères spéciaux et chiffres. Cela rend les attaques par force brute classiques nettement plus difficiles, mais ne protège en rien contre des mots de passe déjà connus.
Si un mot de passe a été exposé lors d’une fuite de données antérieure, il est déjà entre les mains des cybercriminels. Dans ce cas, sa longueur importe peu. Lors des attaques dites de credential stuffing (bourrage d’identifiants), des millions de combinaisons volées de noms d’utilisateur et de mots de passe sont testées automatiquement contre des portails d’entreprise, des accès VPN ou des services cloud. Bien souvent, les mêmes identifiants sont réutilisés et l’attaque aboutit avec un effort minimal.
C’est pourquoi les experts en sécurité appellent aujourd’hui à un changement de paradigme. La question clé n’est désormais plus : « Quelle est la robustesse de ce mot de passe ? », mais plutôt : « Peut-on encore faire confiance à ce mot de passe ? »
Africa CyberSecurity Mag
