Mesurer l’évolution des attaques par force brute suppose de regarder au-delà du simple essai-erreur sur un formulaire de connexion. Les données récentes montrent un basculement : la force brute classique, celle qui teste des millions de combinaisons, recule dans plusieurs écosystèmes au profit de variantes plus ciblées comme le password spraying et le credential stuffing. Ce glissement modifie la nature même des protections à déployer pour les entreprises et les organisations.
Password spraying et credential stuffing : les chiffres qui déplacent la menace
| Type d’attaque | Part dans les attaques d’identité (2025) | Contexte de détection |
|---|---|---|
| Password spraying | 97 % des attaques d’identité selon le Microsoft Digital Defense Report 2025 | Tentatives distribuées sur un grand nombre de comptes avec un mot de passe courant |
| Credential stuffing | 22 % des fuites attribuées à des identifiants compromis comme vecteur initial (Verizon DBIR 2025) | Réutilisation d’identifiants issus de fuites antérieures |
| Force brute classique | En baisse marquée dans certains pays (chute de 72,7 % en Roumanie selon le rapport DNSC 2025) | Essais massifs de combinaisons sur un seul compte |
Ce tableau révèle un déséquilibre net. Le password spraying domine les attaques liées à l’identité, loin devant la force brute traditionnelle. Microsoft indique bloquer en moyenne plus de 7 000 attaques de mots de passe par seconde, un volume qui reflète l’industrialisation de ces techniques.
Le Verizon DBIR 2025 ajoute que 88 % des attaques contre les applications web basiques impliquent des identifiants volés. Les attaquants ne forcent plus la porte : ils utilisent la clé récupérée ailleurs.
Recul de la force brute classique : le cas roumain et ses enseignements
Le rapport annuel 2025 de la Direction nationale roumaine pour la cybersécurité (DNSC) documente une baisse de 72,7 % des attaques par force brute sur l’ensemble de l’écosystème civil du pays. Les incidents DDoS ont également chuté de 52,8 % sur la même période.
Le DNSC attribue explicitement ce recul à trois leviers combinés :
- Des campagnes de sensibilisation coordonnées à l’échelle nationale, ciblant aussi bien les administrations que les PME
- Des systèmes d’alerte proactifs permettant de signaler les tentatives avant qu’elles aboutissent
- Le déploiement de mesures techniques préventives (limitation des tentatives, filtrage géographique, adoption du MFA)
Ce cas est peu documenté dans les contenus francophones sur la cybersécurité. Il montre qu’une politique publique structurée peut réduire massivement un type de menace que beaucoup considèrent comme incompressible.
Vulnérabilités d’authentification : pourquoi le MFA ne suffit plus seul
L’adoption du MFA (authentification multifacteur) a longtemps été présentée comme la réponse définitive aux attaques par force brute. Les données récentes nuancent cette position.
Les lacunes en matière d’authentification multifacteur persistent dans de nombreuses entreprises. L’absence de MFA sur des comptes de service, des accès VPN ou des interfaces d’administration expose des systèmes critiques.
Les attaquants contournent le MFA par plusieurs vecteurs :
- Le vol de jetons de session après une authentification réussie, rendant le second facteur inutile
- Les attaques de fatigue MFA (envoi répété de notifications push jusqu’à validation par l’utilisateur)
- L’exploitation de comptes non couverts par le MFA, notamment les comptes de service automatisés
La gestion des identités devient le vrai périmètre de défense. Un MFA mal déployé laisse autant de portes ouvertes qu’une absence de MFA sur les comptes les plus sensibles.
Les mises à jour NIST SP 800-63B et leurs implications
Le NIST a actualisé ses recommandations (SP 800-63B) en intégrant des directives qui remettent en cause certaines pratiques encore courantes. Les règles de complexité arbitraire (majuscule obligatoire, caractère spécial, rotation tous les 90 jours) sont désormais déconseillées au profit de mots de passe longs, vérifiés contre des listes de mots de passe compromis.
Cette évolution traduit un constat technique : les politiques de rotation fréquente poussent les utilisateurs vers des mots de passe prévisibles. Un mot de passe de 16 caractères aléatoires, conservé durablement, résiste mieux au password spraying qu’un mot de passe de 8 caractères changé chaque trimestre.
Ransomware et identifiants volés : la chaîne d’attaque dominante en 2025
Les attaques par force brute, sous toutes leurs formes, ne sont pas une fin en soi. Elles constituent la première étape d’une chaîne qui mène dans la majorité des cas au déploiement de ransomwares ou à l’exfiltration de données.
79 % des attaques de ransomware sont désormais initiées par des identifiants volés. Le schéma est répétitif : un identifiant compromis par credential stuffing donne accès à un VPN ou un RDP, l’attaquant élève ses privilèges, puis déploie le ransomware.
La réponse aux menaces d’identité conditionne la réponse au ransomware. Les solutions de détection qui se concentrent uniquement sur le comportement réseau en aval arrivent trop tard si l’entrée initiale par identifiant volé n’est pas bloquée.
Les entreprises qui n’ont pas mis en place une gestion centralisée des accès et une surveillance active des tentatives d’authentification restent les cibles les plus accessibles.
La force brute n’a pas disparu. Elle a muté vers des formes que les protections classiques, conçues pour bloquer des milliers de tentatives sur un seul compte, ne détectent pas. Le password spraying distribue une tentative par compte sur des milliers de comptes, passant sous les seuils de verrouillage.
La donnée clé reste celle-ci : la quasi-totalité des attaques d’identité en 2025 relève du password spraying, pas de l’essai massif sur un compte unique. Les défenses qui n’intègrent pas cette réalité protègent contre une menace qui, dans sa forme historique, est déjà en recul.
