Pourquoi les fuites de mots de passe ne s’arrêtent jamais

En bref

Les fuites de mots de passe donnent l’impression d’un disque rayé : un site tombe, des millions d’identifiants circulent, on change un mot de passe… et six mois plus tard, la même histoire. Ce n’est pas (seulement) parce que « les gens sont négligents ». C’est parce que plusieurs systèmes s’entretiennent : des bases volées qui restent utiles des années, des mots de passe réutilisés d’un service à l’autre, des attaques automatisées à très faible coût, et un modèle d’authentification encore trop souvent réduit à une chaîne de caractères.

Bonne nouvelle : on sait ce qui réduit vraiment le risque. Mauvaise nouvelle : ce n’est pas une alerte unique ni un VPN magique. C’est une hygiène un peu ennuyeuse — et de plus en plus, des clés d’accès (passkeys : connexion sans mot de passe).

Ce qu’est vraiment une « fuite de mots de passe »

Sous le même mot, on mélange plusieurs réalités :

1. Vol de base chez un service (piratage, mauvais stockage, erreur de config).
2. Réutilisation : le même couple email + mot de passe marche ailleurs.
3. Credential stuffing (réutilisation automatisée d’identifiants volés) : des robots testent des listes volées sur des milliers de sites.
4. Phishing : tu tapes toi-même le mot de passe sur un faux site — parfois sans « fuite » initiale spectaculaire.
5. Malware / keyloggers : vol local, souvent invisible dans les gros titres.

Les médias parlent souvent du point 1. Ton compte Gmail ou banque est souvent compromis via les points 2, 3 ou 4. D’où le sentiment que « ça n’arrête jamais » : même quand un site se fait remonter les bretelles, l’écosystème des identifiants recyclés continue.

Pourquoi ça continue : l’économie du recyclage

Une fuite n’est pas un événement jetable. Les listes circulent, se fusionnent, se revendent, se « combos » (email:password). Des années plus tard, un mot de passe oublié d’un forum de 2017 peut encore ouvrir un compte e-commerce de 2026 — si tu l’as réutilisé.

Les rapports d’enquêtes sur les incidents (par exemple les synthèses type Verizon DBIR) rappellent depuis longtemps une réalité froide : une part énorme des intrusions passe par des identifiants valides (volés, phishés, ou faibles), pas par un exploit cinématographique. Attaquer avec un vrai login, c’est moins cher que de trouver une faille zero-day (inconnue du vendeur).

Côté défenseurs, le coût de bien stocker les mots de passe (hachage moderne, salage, rate limiting — limitation du nombre d’essais —, détection de stuffing) varie selon les entreprises. Côté attaquants, le coût de rejouer une liste est bas. L’asymétrie est structurelle.

Le piège de la réutilisation (plus fort que la « complexité »)

Longtemps, on a martelé : majuscule, chiffre, caractère spécial. Utile… jusqu’à ce que Sophie2019! soit réutilisé partout. Les recommandations modernes (dont l’esprit des guides NIST sur l’identité numérique) insistent davantage sur :

• la longueur et l’unicité ;
• le refus des mots de passe déjà connus comme compromis ;
• la suppression de règles absurdes qui poussent aux variantes prévisibles (Ete2024!, Ete2025!).

Le vrai killer feature d’un gestionnaire de mots de passe n’est pas « générer xK9$… ». C’est de rendre l’unicité par défaut : un secret différent pour chaque site, sans mémoire humaine impossible.

Sans ça, chaque nouvelle fuite n’est pas un incident isolé. C’est une clé passe-partout qui se balade.

Credential stuffing : l’attaque industrielle du quotidien

Le credential stuffing (OWASP) est simple dans l’idée :

1. Récupérer des millions de couples email/mot de passe issus de fuites.
2. Les tester automatiquement sur Netflix, Amazon, banques, webmails, jeux, outils pro…
3. Garder ce qui marche (souvent quelques pourcents suffisent pour être rentable).
4. Monétiser : revente de comptes, fraude, spam, accès à d’autres services.

Les sites sérieux ralentissent ça (CAPTCHA, limitation de tentatives, détection d’IP, MFA — double authentification). Mais l’écosystème est vaste : une application oubliée, un vieux forum, un SaaS B2B (logiciels pro en ligne) mal protégé, et la chaîne recommence.

Tu n’es pas forcément « ciblé ». Tu es dans une liste.

Ce que les gros titres font mal

• « 200 millions de mots de passe fuités » peut signifier des doublons, des hashs anciens, des agrégats de plusieurs incidents, ou des dumps déjà connus remixés.
• Un service peut publier « aucun mot de passe en clair » — vrai — et malgré tout, si le hachage est faible ou si d’autres données (emails, téléphones) fuient, l’attaque devient plus facile ailleurs.
• Changer un mot de passe après une alerte ne protège pas les autres comptes où tu as recyclé le même.

Vérifier via Have I Been Pwned reste un bon réflexe : pas pour paniquer, pour prioriser.

Ce qui marche vraiment (par ordre d’impact)

1. Un gestionnaire de mots de passe + unicité

Choisis-en un (intégré au navigateur/OS, ou dédié), génère des secrets longs, ne réutilise jamais. C’est la mesure qui coupe le plus souvent la chaîne stuffing.

2. MFA partout où c’est critique

Priorité : email principal, banque, Apple/Google/Microsoft account, outils pro. Préférer une appli d’authentification ou une clé physique plutôt que le SMS quand c’est possible (le SMS reste mieux que rien, mais a ses limites).

3. Clés d’accès / passkeys (quand le site les propose)

Les passkeys (FIDO) — clés d’accès, connexion sans mot de passe — remplacent le secret tapé par une authentification liée à ton appareil / ta biométrie / ton gestionnaire de clés. Avantage majeur : un site phishing a beaucoup plus de mal à te faire « donner » une clé d’accès comme un mot de passe. Ce n’est pas encore universel, mais la trajectoire est claire : moins de chaînes de caractères à voler = moins de matière première pour le marché des fuites.

4. Email de récupération et numéros à jour

Un compte bien verrouillé avec une boîte mail abandonnée, c’est une fausse sécurité. Le maillon faible est souvent le compte de récupération.

5. Hygiène après incident

Si un service te notifie une fuite :

1. change le mot de passe là ;
2. change-le partout où tu l’avais réutilisé (c’est le moment douloureux) ;
3. active la MFA ;
4. surveille mouvements bancaires / achats suspects ;
5. méfie-toi des faux « support » qui t’écrivent pile après l’annonce.

Ce qui aide peu (ou pas comme on croit)

• Changer de mot de passe tous les 30 jours sans raison : souvent pousse à des variantes faibles. Change quand il y a un risque réel ou un doute.
• Un VPN (/fr/tools/vpn) : utile pour d’autres menaces (réseau hostile, certains usages de confidentialité), mais il ne répare pas un mot de passe réutilisé ni un dump déjà volé chez un tiers. Ce n’est pas le correctif principal ici.
• Un « mot de passe très complexe » unique… réutilisé : complexité ≠ isolation.
• Se reposer uniquement sur « je m’en souviens » : la mémoire humaine ne scale pas à 80 comptes.

Pourquoi les entreprises aussi n’arrêtent pas

Même avec des guides (NIST, ANSSI, bonnes pratiques OWASP), la réalité terrain reste inégale :

• dette technique et anciens systèmes ;
• sous-traitants et périmètres flous ;
• comptes partagés / mots de passe dans des tickets ;
• détection lente : la fuite peut être exploitée avant l’annonce publique ;
• utilisateurs B2B qui recyclent le même secret perso/pro.

Le problème n’est donc pas seulement « éduquer les gens ». C’est aussi réduire la surface où un secret unique ouvre trop de portes — d’où l’intérêt des passkeys, de la MFA, et de l’élimination des mots de passe partagés.

Une checklist réaliste (pas une forteresse)

Si tu ne fais que trois choses cette semaine :

1. Installe (ou active) un gestionnaire et migre d’abord email + banque + Apple/Google.
2. Active la MFA sur ces comptes.
3. Vérifie Have I Been Pwned pour ton adresse principale, puis traite les réutilisations.

Ensuite, au fil des connexions : remplace les vieux secrets « un pour tout » par des uniques. C’est progressif, pas héroïque.

Pour choisir l’outil (gratuit vs payant, sync, récupération) : Gestionnaires de mots de passe : ce qui compte vraiment.

Plan d’action en 10 minutes

Chronomètre. L’objectif n’est pas la perfection — c’est de couper la chaîne stuffing sur tes comptes critiques.

1. Minute 0–2 — Ouvre Have I Been Pwned, teste ton e-mail principal. Note les services où tu réutilisais le même secret.
2. Minute 2–5 — Active (ou installe) un gestionnaire. Change d’abord le mot de passe de la boîte mail principale → génère un secret unique, sauvegarde-le dans le coffre.
3. Minute 5–8 — Même geste pour Apple / Google / Microsoft (le compte qui récupère tout le reste) + ta banque ou moyen de paiement principal.
4. Minute 8–10 — Active la MFA (appli d’auth de préférence) sur ces trois à quatre comptes. Capture les codes de secours.

Demain : à chaque connexion « encore l’ancien mot de passe », remplace-le. En une semaine, la plupart des portes passe-partout sont fermées.

Pour aller plus loin

• Have I Been Pwned — savoir si ton email apparaît dans des dumps connus.
• OWASP — Credential stuffing — mécanisme de l’attaque automatisée.
• NIST SP 800-63 — cadre moderne sur l’identité numérique et les secrets.
• FIDO Alliance — Passkeys — comprendre le remplacement progressif du mot de passe.
• Verizon DBIR — tendances des incidents et rôle des identifiants.
• ANSSI — recommandations françaises sur l’authentification et la sécurité numérique.