- Une attaque par force brute teste systématiquement toutes les combinaisons possibles ; une attaque par dictionnaire teste des mots de passe courants ou déjà fuités.
- Le credential stuffing (test automatique d’identifiants déjà fuités sur d’autres sites) est aujourd’hui la méthode la plus efficace pour les attaquants, bien plus que la force brute pure.
- Le MFA et la limitation du nombre de tentatives de connexion sont les deux protections les plus efficaces contre ces attaques.
Derrière le terme générique « piratage de mot de passe » se cachent en réalité plusieurs techniques bien différentes. Comprendre lesquelles menacent réellement votre entreprise permet de prioriser les bonnes protections plutôt que de se disperser.
Force brute : essayer toutes les combinaisons
La force brute consiste à tester méthodiquement toutes les combinaisons de caractères possibles jusqu’à trouver la bonne. Un mot de passe court (6-8 caractères) peut être cassé en quelques heures avec du matériel courant ; un mot de passe de 16 caractères aléatoires prendrait, en théorie, des millions d’années avec les moyens actuels.
Attaque par dictionnaire : miser sur la prévisibilité humaine
Plutôt que d’essayer toutes les combinaisons possibles, l’attaque par dictionnaire teste une liste de mots de passe courants (les fameux « 123456 », « azerty », mais aussi des variantes comme « Entreprise2026! ») ou de mots de passe déjà connus via des fuites précédentes. C’est nettement plus rapide que la force brute pure, car elle exploite les habitudes humaines prévisibles.
Penser qu’ajouter un chiffre ou un symbole à la fin d’un mot courant (« Entreprise2026! ») protège efficacement. Les dictionnaires d’attaque intègrent déjà ces variantes prévisibles depuis longtemps.
Credential stuffing : la vraie menace de 2026
C’est aujourd’hui la technique la plus utilisée, et la plus efficace : les attaquants récupèrent des combinaisons email/mot de passe issues de fuites de données passées, puis les testent automatiquement sur des milliers d’autres sites. Si un collaborateur réutilise le même mot de passe sur son compte professionnel et un site tiers piraté, l’entreprise hérite du problème sans avoir été directement attaquée.
Avec plus de 200 fuites de données recensées en France sur les premiers mois de 2026, le volume d’identifiants en circulation alimente massivement ce type d’attaque.
Comment s’en protéger concrètement
- MFA sur tous les accès sensibles : même un mot de passe deviné ou volé ne suffit plus à se connecter
- Limitation du nombre de tentatives de connexion : bloque automatiquement une adresse IP après plusieurs échecs
- Mots de passe uniques par service : neutralise l’impact du credential stuffing
- Surveillance des fuites : des outils comme Have I Been Pwned alertent si une adresse apparaît dans une nouvelle fuite
Si votre site ou application web gère des comptes utilisateurs, assurez-vous qu’un système de limitation des tentatives de connexion (rate limiting) est bien en place — c’est souvent la protection la plus simple et la plus négligée côté technique.
❓ FAQ
Le MFA rend-il les attaques par force brute inutiles pour un attaquant ?
Presque : même en devinant le bon mot de passe, l’attaquant se heurte à une seconde barrière qu’il ne peut généralement pas franchir sans accès physique à l’appareil de la victime.
Comment savoir si mon entreprise a déjà été touchée par du credential stuffing ?
Des connexions réussies depuis des localisations inhabituelles, ou de nombreuses tentatives de connexion échouées sur un compte, sont des signaux à surveiller dans les journaux de connexion.
📚 Pour aller plus loin : générez un mot de passe robuste avec notre générateur gratuit.
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Spécialiste Microsoft 365 et gestion des identités. Camille aide les PME à sécuriser leurs comptes, leur messagerie et leurs accès sans complexifier le quotidien des équipes.
