Un compte, un secret
Pourquoi ne faut-il jamais réutiliser un mot de passe ?
Une fuite sur un service peu important peut ouvrir votre messagerie, vos achats ou vos réseaux sociaux.
Réponse immédiate : lorsqu’un mot de passe réutilisé fuit, des attaquants peuvent le tester automatiquement avec votre adresse e-mail sur de nombreux autres sites. Un seul incident devient alors une compromission en chaîne. La protection efficace consiste à utiliser un mot de passe unique par compte.
Comment l’attaque se déroule
Un service est compromis
Une base contenant des adresses et des empreintes de mots de passe est volée.
Les secrets faibles sont retrouvés
Les attaquants exploitent dictionnaires, variantes connues ou protections de stockage insuffisantes.
Les identifiants sont testés ailleurs
Des logiciels essaient automatiquement les mêmes couples e-mail/mot de passe sur d’autres services.
Les comptes rentables sont exploités
Messagerie, achats, réseaux sociaux et comptes professionnels peuvent être détournés.
Cette méthode est appelée bourrage d’identifiants ou credential stuffing. La robustesse initiale du mot de passe ne corrige pas le problème : s’il est connu, sa longueur n’a plus d’importance.
Les petites variantes ne suffisent pas
Mistral!Boutique, Mistral!Banque et Mistral!Mail semblent différents, mais révèlent le même modèle. Après une fuite, les suffixes deviennent faciles à deviner. Il faut générer trois secrets sans structure commune.
Ajouter le nom du site, changer l’année ou incrémenter un chiffre reste une forme de réutilisation. Les règles d’attaque intègrent précisément ces transformations humaines courantes.
Comment sortir de la réutilisation
- Installez ou choisissez un gestionnaire de mots de passe.
- Commencez par la messagerie, la banque, l’administration et les comptes professionnels.
- Pour chaque compte, générez un secret différent de 20 caractères avec le générateur Passefort.
- Activez l’authentification à deux facteurs.
- Remplacez ensuite les doublons au fil de vos connexions.
Ne modifiez pas seulement le site concerné. Suivez la procédure mot de passe compromis et changez toutes ses réutilisations et variantes.
Guides associés
Sources officielles consultées
Remplacez aujourd’hui un mot de passe réutilisé.
Une nouvelle combinaison unique se crée en quelques secondes.