Utiliser le même mot de passe pour plusieurs comptes semble anodin – et c’est pourtant l’une des vulnérabilités les plus exploitées qui soient. Si un service est compromis, les attaquants testent automatiquement les identifiants dérobés sur tous les autres. Cet article explique comment fonctionne le Credential Stuffing, pourquoi la réutilisation des mots de passe est particulièrement risquée pour les entreprises et quelles mesures permettent de résoudre le problème de manière structurelle.
Que signifie la réutilisation des mots de passe ?
On parle de réutilisation des mots de passe lorsque le même mot de passe, ou un mot de passe à peine modifié, est utilisé pour plusieurs comptes. En pratique, cela prend trois formes :
- Mots de passe identiques : un seul mot de passe pour l’e-mail, le CRM, le stockage Cloud et la boutique en ligne – le cas classique.
- Variations : « Ete2025! » devient « Ete2026! » ou « Ete2025!! » – pour les attaques automatisées, pratiquement aussi facile à deviner que l’original.
- Mélange privé-professionnel : le mot de passe de streaming personnel sert aussi de login à un système de l’entreprise. Une fuite chez un service grand public touche alors directement l’entreprise.
Les enquêtes montrent régulièrement l’ampleur du problème : environ un tiers des internautes en Allemagne utilise le même mot de passe pour plusieurs services (Bitkom, janvier 2025).
Credential Stuffing : comment les attaquants exploitent les mots de passe identiques
Après une fuite de données, les combinaisons dérobées d’adresses e-mail et de mots de passe circulent dans des forums et des collections spécialisés. Lors d’une attaque par Credential Stuffing, les attaquants rejouent automatiquement ces listes contre les pages de connexion d’autres services – avec des botnets, répartis sur des milliers d’adresses IP pour contourner les blocages. Chaque réutilisation devient ainsi une réussite (NCSC : advisory sur le Credential Stuffing).
Le Verizon Data Breach Investigations Report montre à quel point c’est directement exploitable : dans la catégorie d’attaques « Basic Web Application Attacks », environ 88 % des incidents signalés impliquaient des identifiants volés. Contrairement à une attaque par force brute, il n’y a ici rien à « casser » – le mot de passe est déjà connu.
De la fuite isolée à la réaction en chaîne
Le véritable dommage naît de l’enchaînement : avec un compte e-mail compromis, il est possible de déclencher des réinitialisations de mot de passe pour d’autres services. Avec un login de collaborateur compromis, les attaquants pénètrent dans le réseau de l’entreprise, étendent leurs privilèges, se déplacent latéralement – et déploient dans le pire des cas un ransomware. Le BSI mettait déjà en garde en 2024 expressément contre les tentatives de connexion automatisées visant les systèmes exposés.
Un déroulement typique : fuite chez un service grand public → la même combinaison fonctionne sur le webmail professionnel → via la boîte e-mail, les outils collaboratifs et les services Cloud sont réinitialisés → depuis le compte compromis partent des e-mails de phishing internes vers les collègues. Chaque étape de cette chaîne ne suppose qu’une seule chose : un mot de passe réutilisé.
Pourquoi la réutilisation des mots de passe est particulièrement risquée en entreprise
Dans le contexte de l’entreprise, trois facteurs aggravent le risque :
- Comptes partagés : les logins d’équipe pour les réseaux sociaux, les portails fournisseurs ou les comptes de service sont souvent partagés de vive voix, par e-mail ou par liste – et survivent inchangés aux changements de personnel. Qui a connu le mot de passe un jour le connaît encore.
- Offboarding flou : si une personne quitte l’entreprise, sans gestion centralisée personne ne sait avec certitude quels accès elle connaissait et quels mots de passe doivent être changés.
- Mélange privé-professionnel : l’entreprise ne peut ni empêcher ni détecter les fuites chez les services personnels – mais elle peut en limiter l’impact si les mots de passe professionnels sont garantis uniques.
Notre aperçu Gestionnaire de mots de passe pour les entreprises décrit comment une gestion centralisée des mots de passe résout ces problèmes structurels ; l’article pratique Gestion sécurisée des mots de passe en entreprise traite du volet organisationnel.
Détecter les mots de passe réutilisés et compromis
La première étape est la transparence : quels mots de passe sont faibles, attribués plusieurs fois ou déjà apparus dans des fuites de données connues ? Deux outils y contribuent :
- Analyse des mots de passe : Password Depot évalue la qualité des mots de passe enregistrés et rend visibles les entrées faibles qui devraient être remplacées.
- Vérification contre les listes compromises : via Extras → Contrôle de sécurité → Vérifier dans les mots de passe Pwned, Password Depot compare les mots de passe enregistrés à la base de données publique Have I Been Pwned – par k-anonymat, sans que vos mots de passe ne quittent l’ordinateur en clair. C’est exactement cette vérification que recommande aussi le NIST SP 800-63B.
Effectuez ce contrôle régulièrement – en particulier après des fuites de données rendues publiques ou des incidents de phishing – et remplacez immédiatement les mots de passe concernés.
Empêcher la réutilisation des mots de passe : les mesures en un coup d’œil
C’est la combinaison de politiques, de technique et de praticabilité au quotidien qui est efficace – les interdictions seules échouent face à l’impossibilité de mémoriser des dizaines de mots de passe uniques :
Le tableau défile latéralement
| Mesure | Mise en œuvre | Effet |
|---|---|---|
| Un mot de passe par service | Politique : interdire la réutilisation ; mots de passe longs et aléatoires issus du générateur (voir Conseils pour des mots de passe sécurisés) | Une fuite reste limitée à un seul service |
| Mettre un gestionnaire de mots de passe à disposition | Les mots de passe uniques deviennent praticables, car plus personne n’a besoin de les mémoriser | Élimine la cause principale de la réutilisation |
| Vérification contre les listes de fuites | Vérifier les mots de passe nouveaux et existants contre les listes compromises (NIST SP 800-63B) | Les mots de passe déjà divulgués sont détectés et remplacés |
| MFA / passkeys | Authentification multifacteur, de préférence résistante au phishing (FIDO2), au minimum pour les accès administrateur, distants et Cloud (CISA) | Les mots de passe volés ne suffisent plus à eux seuls |
| Changements motivés par un événement plutôt que rotation calendaire | N’imposer le changement des mots de passe qu’en cas de soupçon ou de preuve de compromission – comme le recommandent le BSI, le NIST et le NCSC) | Empêche les variations prévisibles comme « Ete2026! » |
Empêcher la réutilisation des mots de passe de manière centralisée avec Password Depot Enterprise Server
Les mesures isolées aident – mais l’unicité ne peut être imposée que de manière centralisée. Le Password Depot Enterprise Server ancre ces mesures dans l’infrastructure :
- Politiques de mots de passe centralisées : la longueur minimale, les types d’entrées autorisés et les règles du générateur s’appliquent côté serveur pour tous – non comme recommandation, mais comme exigence.
- Comptes partagés sans secrets partagés : les accès d’équipe résident dans des bases de données communes et chiffrées avec rôles et droits – au lieu de listes et de chats. Lors de l’offboarding, vous voyez de manière centralisée quelles entrées sont concernées.
- Contrôle de sécurité pour tous : les mots de passe faibles ou apparus dans des fuites sont détectés et remplacés – à l’échelle de l’organisation et non utilisateur par utilisateur.
- MFA et intégration d’annuaire : FIDO2/WebAuthn et TOTP sécurisent l’accès en plus ; les utilisateurs et les groupes proviennent de votre gestion des identités existante via Active Directory, SSO et MFA.
- Traçabilité : les journaux d’audit répondent à la question « qui a eu accès à quoi, et quand ? » – essentiel pour l’analyse des incidents et les audits.
Conclusion : l’unicité est la mesure individuelle la plus efficace
La réutilisation des mots de passe n’est pas un problème de confort, mais le mécanisme qui transforme la fuite de données d’un tiers en votre incident de sécurité. La solution fait consensus depuis des années entre le BSI, le NIST et le NCSC : des mots de passe longs et uniques par service, un gestionnaire de mots de passe qui rend cela praticable, la vérification contre les listes de fuites et la MFA. En entreprise s’y ajoute une gestion centralisée des mots de passe qui impose ces règles – au lieu de les recommander.
Questions fréquentes sur les mots de passe identiques
Qu’est-ce que le Credential Stuffing ?
Une attaque automatisée au cours de laquelle des combinaisons d’adresses e-mail et de mots de passe issues de fuites de données sont testées en masse contre les pages de connexion d’autres services. Elle ne fonctionne que parce que beaucoup de personnes réutilisent leurs mots de passe – rien n’a besoin d’être cassé.
Comment savoir si mon mot de passe est concerné par une fuite de données ?
Grâce à une vérification contre des bases de données publiques de fuites comme Have I Been Pwned. Cette vérification est intégrée à Password Depot : Extras → Contrôle de sécurité → Vérifier dans les mots de passe Pwned – par k-anonymat, sans que vos mots de passe ne soient transmis en clair.
Suffit-il de modifier légèrement le mot de passe ?
Non. Les variations comme l’ajout d’une année ou d’un point d’exclamation sont prévisibles et automatiquement testées par les outils d’attaque. Seul un mot de passe unique par service, généré aléatoirement, est sûr.
À quelle fréquence faut-il changer ses mots de passe ?
En fonction des événements plutôt que du calendrier : en cas de soupçon ou de preuve de compromission, après des incidents de phishing ou lors du départ de collaborateurs ayant un accès. Le BSI, le NIST et le NCSC déconseillent le changement forcé routinier sans motif, car il conduit à des mots de passe plus faibles et prévisibles.
L’authentification multifacteur protège-t-elle contre le Credential Stuffing ?
La MFA est l’une des contre-mesures les plus efficaces : même avec le bon mot de passe, la connexion échoue au deuxième facteur. Les procédés résistants au phishing comme FIDO2/passkeys offrent la protection la plus forte. Mais la MFA ne remplace pas les mots de passe uniques – les deux vont de pair.
Comment les entreprises empêchent-elles systématiquement la réutilisation des mots de passe ?
Avec une gestion centralisée des mots de passe comme le Password Depot Enterprise Server : politiques de mots de passe côté serveur, générateur de mots de passe uniques, contrôle de sécurité commun contre les listes de fuites, MFA ainsi que rôles et journaux d’audit pour les accès partagés.
Imposer des mots de passe uniques de manière centralisée
Le Password Depot Enterprise Server transforme les recommandations en politiques contraignantes – avec générateur, contrôle de sécurité et journaux d’audit pour toute votre équipe.
Découvrir Enterprise Server