Le Microsoft Digital Defense Report 2024 pose un constat sans ambiguïté : plus de 99 % des attaques d’identité observées quotidiennement sur les services Microsoft ciblent le mot de passe. Le volume atteint plusieurs milliers de tentatives bloquées chaque seconde, entre password spray et credential stuffing.
Les mots de passe faibles ne sont pas un sujet de sensibilisation grand public à recycler, c’est le vecteur d’attaque dominant en 2024, y compris contre des organisations qui ont déployé d’autres couches de sécurité.
Credential stuffing et password spray : pourquoi le volume d’attaques explose
Le credential stuffing repose sur un principe simple : réutiliser des couples identifiant/mot de passe issus de fuites antérieures contre d’autres services. Quand un utilisateur recycle « azerty » ou « 123456 » sur trois plateformes différentes, compromettre un seul compte ouvre la porte aux deux autres.
Le password spray fonctionne à l’inverse. L’attaquant teste un petit nombre de mots de passe triviaux contre un grand nombre de comptes. Les suites numériques et les motifs clavier (qwerty, azerty, 1234) suffisent à atteindre un taux de réussite rentable sur des annuaires de plusieurs milliers d’entrées.
Ces deux techniques ne nécessitent aucune compétence avancée. Des outils automatisés, disponibles sur le dark web, permettent de lancer des campagnes massives pour un coût marginal. Nous observons que la majorité des incidents d’identité traités en entreprise impliquent l’une ou l’autre de ces méthodes, rarement un exploit sophistiqué.
Abandon du renouvellement périodique : ce que la CNIL et l’ANSSI ont acté
Forcer les utilisateurs à changer leur mot de passe tous les 90 jours génère des comportements prévisibles. Les patterns sont documentés : ajout d’un chiffre incrémenté en fin de chaîne, substitution d’un caractère spécial toujours au même endroit, alternance entre deux mots de passe. Un attaquant qui dispose d’une version antérieure peut deviner la suivante.
La CNIL, dans sa délibération du 21 juillet 2022 puis dans ses recommandations actualisées, acte que le renouvellement régulier n’est plus recommandé pour les comptes standards. L’ANSSI avait déjà ouvert la voie en retirant cette exigence de ses guides. Le changement ne doit intervenir qu’en cas de compromission avérée ou suspectée.
Ce tournant réglementaire modifie la politique de mots de passe dans les organisations françaises. Les responsables sécurité qui maintiennent une rotation trimestrielle imposent un fardeau cognitif sans gain mesurable, et s’exposent à un écart avec les référentiels en vigueur.
Les critères qui remplacent la rotation
Les référentiels ANSSI et CNIL convergent vers un socle technique précis :
- Un minimum de 12 caractères, combinant majuscules, minuscules, chiffres et caractères spéciaux, ou une passphrase longue d’au moins 14 caractères
- Un blocage automatique après un nombre limité de tentatives infructueuses, couplé à une détection des patterns de password spray
- Un contrôle du mot de passe contre des bases de données de fuites connues (type Have I Been Pwned) au moment de la création
- Le déploiement de l’authentification multifacteur (MFA) sur tous les comptes à privilèges, et si possible sur l’ensemble des utilisateurs
Nous recommandons de traiter le mot de passe comme un facteur parmi d’autres, pas comme la seule barrière. La robustesse d’un mot de passe isolé a ses limites face à un dump de base de données.
Passkeys et MFA : état réel du déploiement en entreprise
Les passkeys, basées sur le standard FIDO2, suppriment le mot de passe côté utilisateur. L’authentification repose sur une paire de clés cryptographiques liée à l’appareil. Pas de secret partagé à intercepter, pas de credential à recycler. Microsoft pousse activement cette technologie sur ses services cloud.
En pratique, le déploiement des passkeys reste marginal dans les entreprises françaises. Les freins sont concrets : compatibilité des applications métier, gestion du parc d’appareils, coût de migration des annuaires Active Directory. La plupart des organisations en sont encore à la phase pilote ou à l’évaluation.
Le MFA progresse plus vite. Les solutions basées sur des applications d’authentification (TOTP, push notification) couvrent désormais une part significative des accès cloud. En revanche, le MFA par SMS reste vulnérable au SIM swapping et ne devrait plus être considéré comme un facteur fiable pour les comptes sensibles.
Audit Active Directory : le point aveugle des PME
Les grandes organisations auditent régulièrement leur annuaire pour détecter les mots de passe compromis ou triviaux. Les PME, elles, négligent souvent cette étape. Un audit de mots de passe Active Directory compare les hash stockés contre des dictionnaires de fuites et identifie les comptes à risque sans exposer les mots de passe en clair.
Ce type d’audit révèle régulièrement que des comptes de service utilisent des mots de passe inchangés depuis des années, parfois identiques au nom du service lui-même. Ces comptes disposent souvent de privilèges élevés, ce qui en fait des cibles prioritaires pour un mouvement latéral post-compromission.
Politique de mots de passe en 2024 : les arbitrages qui comptent
Rédiger une politique de mots de passe efficace ne consiste pas à empiler des contraintes. Les organisations qui imposent simultanément 16 caractères minimum, un renouvellement mensuel et l’interdiction de noter le mot de passe obtiennent l’effet inverse : des utilisateurs qui contournent le système.
Les arbitrages pertinents se situent ailleurs :
- Prioriser le MFA sur les accès critiques (messagerie, VPN, console d’administration cloud) avant de durcir les règles de complexité sur les accès secondaires
- Déployer un gestionnaire de mots de passe d’entreprise pour éliminer la réutilisation entre services, plutôt que de compter sur la mémoire des utilisateurs
- Intégrer un contrôle automatisé contre les bases de fuites au moment de la création et du changement de mot de passe
- Supprimer la rotation périodique pour les comptes standards, conformément aux recommandations CNIL et ANSSI, et la maintenir uniquement pour les comptes à privilèges en cas de doute sur une compromission
La gestion des mots de passe en entreprise est un problème d’architecture, pas de volonté individuelle. Chaque couche de sécurité ajoutée doit réduire la dépendance au facteur humain, pas l’augmenter.
Le mot de passe faible persistera tant que des systèmes accepteront « 123456 » sans broncher. Les organisations qui concentrent leurs efforts sur la détection des credentials compromis, le MFA systématique et l’élimination progressive du mot de passe unique comme facteur d’authentification réduisent concrètement leur surface d’attaque. Les autres continuent de jouer à la loterie avec leurs données.
