Pourquoi arrêter de réutiliser ses mots de passe, et quoi faire à la place

Le risque est réel

Chaque année, des milliards d’enregistrements sont exposés lors de fuites de données. Dans la plupart des prises de contrôle de comptes, la cause n’est pas un piratage sophistiqué : c’est un mot de passe faible ou réutilisé. Quand votre mot de passe fuit d’un site, des criminels le testent sur d’innombrables autres en quelques minutes, à l’aide de scripts automatisés.

Cette attaque s’appelle le bourrage d’identifiants (credential stuffing). Elle exploite une habitude très humaine : réutiliser des mots de passe familiers d’un compte à l’autre. Votre mot de passe de streaming devient soudain la clé de votre courriel, de votre banque en ligne et du VPN de votre entreprise.

Pourquoi la réutilisation est si dangereuse

• Un mot de passe ouvre tout. La plupart des gens s’appuient sur une poignée de mots de passe mémorisables pour des dizaines de services.
• Le courriel est la clé de votre identité. Qui contrôle votre boîte de réception peut réinitialiser le mot de passe de presque tous vos autres comptes.
• Les codes SMS ne sont pas un filet de sécurité. L’échange frauduleux de carte SIM permet d’intercepter les codes reçus par texto quand l’attaquant connaît déjà votre mot de passe réutilisé.
• Les listes volées se vendent en gros. Les identifiants dérobés sont regroupés et revendus en masse sur des marchés criminels.

Ce que vous pouvez faire pour vous protéger

Découvrez ce qui a déjà fuité

Passez vos mots de passe les plus importants au vérificateur de fuites. Il ne voit jamais votre mot de passe : seuls 5 caractères d’une empreinte quittent votre appareil. Tout mot de passe trouvé doit être remplacé partout où il sert.

Générez un mot de passe unique pour chaque compte

Le générateur de mots de passe crée des mots de passe forts dans votre navigateur, sans rien suivre ni conserver. Pour ceux que vous devez taper, comme la session de votre ordinateur, utilisez le générateur de phrases de passe.

Vérifiez la force de vos mots de passe actuels

Le test de force montre les motifs qu’un attaquant repérerait et le temps qu’un mot de passe tiendrait face à quatre types d’attaques.

Instaurez une politique au travail

Le générateur de politique transforme les recommandations du NIST, de PCI DSS ou du CIS en politique applicable, avec des scripts pour Windows, Active Directory et Linux.

Conseils bonus d’hygiène des mots de passe

• Utilisez un gestionnaire de mots de passe comme Bitwarden, 1Password ou KeePassXC : des mots de passe uniques ne vous coûtent alors aucun effort de mémoire.
• Activez la MFA partout où elle est proposée, en préférant une application d’authentification, une clé de sécurité ou les clés d’accès au SMS.
• Changez vos mots de passe après une fuite, pas selon un calendrier.
• Ne stockez jamais vos mots de passe en clair : ni dans des notes, ni dans un tableur, ni dans des brouillons de courriel.

Le mot de la fin : ne faites pas confiance, vérifiez

Les outils MyStrongPassword fonctionnent sur votre appareil : vos mots de passe ne sont jamais stockés ni envoyés. Vous pouvez le vérifier vous-même dans les outils de développement de votre navigateur, et lire les détails dans notre politique de confidentialité.

Passez à l’action aujourd’hui : des mots de passe uniques, des mots de passe forts, et plus jamais de réutilisation.