Les mots de passe faibles ne sont plus seulement un problème de négligence utilisateur. Ils alimentent un écosystème industrialisé d’intrusions où le credential stuffing, les stealer logs et les bases de données volées transforment chaque secret trivial en vecteur d’attaque reproductible. Nous observons que la majorité des compromissions d’identifiants exploitent des mots de passe déjà présents dans des fuites antérieures, ce qui déplace le problème de la création vers la réutilisation.
Stealer logs et credential stuffing : la mécanique réelle des intrusions par mot de passe
Les articles grand public insistent sur la faiblesse intrinsèque d’un mot de passe comme « 123456 ». Le vrai levier d’attaque se situe en amont : les malwares de type infostealer collectent les identifiants stockés dans les navigateurs, les gestionnaires natifs et les sessions actives. Les mots de passe récupérés via ces stealer logs sont presque toujours déjà faibles ou banals, ce qui réduit considérablement l’effort côté attaquant.
Une fois un couple identifiant/mot de passe exfiltré depuis un service peu protégé, il alimente des campagnes de credential stuffing automatisé. L’attaquant teste le même couple sur des dizaines de plateformes. La réutilisation systématique d’un même secret transforme une fuite isolée en intrusion en cascade.
Le problème de sécurité n’est donc plus seulement la faiblesse au moment de la création. C’est la présence du mot de passe dans des bases de données déjà compromises qui constitue le risque principal. Un mot de passe de douze caractères mêlant majuscules et symboles perd toute valeur s’il figure déjà dans une fuite exploitée par des outils de stuffing.
Directives NIST SP 800-63B : ce qui change pour la politique de mots de passe en entreprise
Les révisions récentes des directives NIST SP 800-63B remettent en cause plusieurs pratiques encore répandues dans les politiques de sécurité d’entreprise. Trois changements méritent une attention particulière.
- Les services ne doivent plus imposer de règles de complexité arbitraires (obligation de majuscule, chiffre, symbole). Ces contraintes produisent des modèles prévisibles : les utilisateurs ajoutent un « ! » en fin de chaîne ou remplacent un « a » par un « @ », des schémas que les dictionnaires d’attaque intègrent depuis longtemps.
- La rotation périodique obligatoire est désormais proscrite, sauf indication concrète de compromission. Forcer un changement tous les 90 jours pousse à des variantes incrémentales (« motdepasse2024 », « motdepasse2025 ») qui n’apportent aucune résistance supplémentaire.
- Les vérificateurs doivent comparer systématiquement les mots de passe soumis contre des listes de secrets déjà compromis. Si le mot de passe proposé figure dans une base de fuites connue, il doit être rejeté à la création.
Nous recommandons d’intégrer cette vérification contre les bases de fuites directement dans le flux d’authentification. C’est la mesure qui offre le meilleur ratio effort/réduction du risque pour les comptes protégés par un simple mot de passe.
Authentification multifacteur et passkeys : limites concrètes du MFA en déploiement
Le MFA est souvent présenté comme la solution définitive aux mots de passe faibles. En pratique, son efficacité dépend entièrement de l’implémentation. Un second facteur par SMS reste vulnérable au SIM swapping. Les codes TOTP (applications type Authenticator) offrent une meilleure protection, mais posent des problèmes de récupération de compte que beaucoup d’organisations gèrent mal, en fournissant des codes de secours statiques stockés en clair.
Les passkeys représentent l’alternative la plus robuste aux mots de passe traditionnels. Basées sur la cryptographie asymétrique, elles éliminent le secret partagé entre l’utilisateur et le serveur. Microsoft propose désormais par défaut une connexion sans mot de passe pour les nouveaux comptes, ce qui illustre la direction prise par les grands fournisseurs d’identité.
L’adoption reste freinée par plusieurs contraintes. La portabilité des passkeys entre écosystèmes (Apple, Google, Microsoft) n’est pas encore transparente. Les utilisateurs qui perdent leur appareil principal se retrouvent dans des scénarios de récupération complexes. Et les systèmes legacy d’entreprise, qui représentent une part significative du parc applicatif, ne supportent pas encore FIDO2/WebAuthn.
Prioriser le déploiement du MFA sur les comptes à haut privilège
Plutôt que d’imposer le MFA uniformément (ce qui génère de la friction et des contournements), nous recommandons de cibler d’abord les comptes d’administration, les accès VPN et les services exposés sur internet. Un compte administrateur protégé par un mot de passe seul reste la faille la plus exploitée dans les audits de sécurité que nous observons.
Gestion des mots de passe en entreprise : gestionnaire centralisé et politique de devinabilité
Les gestionnaires de mots de passe centralisés (Bitwarden, 1Password Business, KeePassXC en déploiement géré) restent le socle technique le plus pragmatique pour les organisations qui ne peuvent pas migrer entièrement vers le passwordless. Ils permettent de générer des secrets uniques de haute entropie pour chaque service, sans dépendre de la mémoire des utilisateurs.
La CNIL recommande d’évaluer la robustesse des mots de passe non plus uniquement par l’entropie théorique (nombre de caractères multipliés par la taille de l’alphabet), mais par leur résistance à la devinabilité. Un mot de passe de seize caractères formé d’une phrase du quotidien peut avoir une entropie mathématique élevée tout en figurant dans un dictionnaire d’attaque.
Les phrases de passe restent une approche intéressante à condition de combiner des mots sans lien logique apparent. « Radiateur-Tramway-Cactus-47 » résiste mieux aux attaques par dictionnaire qu’une citation littéraire, même plus longue. La longueur seule ne protège pas si le modèle est prévisible.
Le vrai gain de sécurité se situe dans la combinaison d’un gestionnaire centralisé, d’une vérification contre les bases de fuites à la création, et d’un MFA ciblé sur les accès critiques. Aucune de ces mesures ne suffit isolément. Mais déployées ensemble, elles réduisent drastiquement la surface d’attaque liée aux identifiants, même dans des environnements où le mot de passe reste le mode d’authentification principal.
