Qu’est-ce qu’une fuite de mots de passe ?
Une fuite de mots de passe se produit lorsque des mots de passe ou d’autres identifiants de compte sont exposés à une personne non autorisée ou obtenus à la suite d’un incident de sécurité.
Une fuite peut se produire lorsqu’un service en ligne est compromis et que les informations qu’il stocke sont dérobées. Des identifiants peuvent également être exposés par le biais de l’hameçonnage, de logiciels malveillants ou d’autres attaques ciblant directement les utilisateurs.
Une fuite ne signifie pas nécessairement que tous les mots de passe de tous les utilisateurs ont été exposés. Les informations concernées dépendent de l’incident spécifique et des systèmes impliqués.
Comment les fuites de mots de passe se produisent-elles ?
Il existe de nombreuses façons dont des identifiants peuvent être exposés. Voici quelques exemples courants :
- Services compromis — Un attaquant obtient un accès non autorisé aux systèmes ou aux bases de données d’une entreprise.
- Hameçonnage — Un utilisateur est trompé et saisit ses identifiants sur un site web ou dans une application frauduleuse.
- Logiciels malveillants — Des logiciels malveillants peuvent potentiellement capturer les identifiants saisis sur un appareil infecté.
- Credential stuffing — Des noms d’utilisateur et des mots de passe précédemment volés sont testés sur d’autres sites web.
- Pratiques de sécurité insuffisantes — Des systèmes mal protégés ou des identifiants mal gérés peuvent augmenter le risque d’accès non autorisé.
Que deviennent les mots de passe volés ?
Des identifiants volés peuvent être utilisés pour tenter d’accéder au compte concerné ou à d’autres comptes appartenant à la même personne.
C’est l’une des raisons pour lesquelles la réutilisation des mots de passe est particulièrement dangereuse. Si le même mot de passe est utilisé pour plusieurs services et qu’il est exposé lors d’une fuite, des attaquants peuvent essayer de l’utiliser ailleurs.
Des attaques automatisées peuvent tester un grand nombre de combinaisons de noms d’utilisateur et de mots de passe précédemment exposées sur des services en ligne populaires. Ce type d’attaque est couramment appelé credential stuffing.
Pourquoi la réutilisation des mots de passe aggrave-t-elle les fuites ?
Prenons l’exemple d’une personne qui utilise le même mot de passe pour un compte d’achat en ligne, un compte sur les réseaux sociaux et son compte e-mail.
Si le service d’achat en ligne subit une fuite et que ce mot de passe devient connu, l’attaquant dispose alors d’un mot de passe qui peut également fonctionner sur les autres comptes.
Utiliser un mot de passe différent pour chaque compte important limite les dommages pouvant résulter de l’exposition d’un seul mot de passe.
Vous pouvez en apprendre davantage sur ce sujet dans notre article : Pourquoi vous ne devez jamais réutiliser vos mots de passe .
Que se passe-t-il si les mots de passe sont hachés ?
De nombreux services en ligne ne stockent pas les mots de passe des utilisateurs en clair. À la place, les mots de passe sont généralement traités à l’aide de techniques de hachage avant d’être stockés.
Le hachage et le chiffrement sont deux technologies différentes. Le chiffrement est conçu pour permettre aux utilisateurs ou aux systèmes autorisés de déchiffrer les informations d’origine à l’aide de la clé appropriée. Un système de hachage de mots de passe correctement conçu vise à rendre difficile la récupération du mot de passe d’origine à partir du hachage stocké.
Toutefois, une fuite peut rester grave même lorsque les mots de passe sont hachés. Les attaquants peuvent tenter de deviner les mots de passe et comparer les hachages obtenus avec les hachages de mots de passe volés. Les mots de passe faibles ou couramment utilisés peuvent être particulièrement vulnérables à ces attaques.
Comment savoir si un mot de passe a été compromis ?
Certains services avertissent les utilisateurs lorsqu’un compte a été touché par un incident de sécurité. Des chercheurs en sécurité et des services de notification de fuites peuvent également fournir des informations sur les fuites de données connues.
Certains gestionnaires de mots de passe proposent des fonctionnalités de surveillance des fuites ou de vérification des mots de passe qui peuvent aider à identifier les mots de passe associés à des fuites connues.
Gardez toutefois à l’esprit qu’aucune base de données de fuites ne peut garantir qu’elle contient tous les identifiants qui ont déjà été exposés. L’absence d’un mot de passe dans une base de données particulière ne prouve pas que ce mot de passe n’a jamais été exposé.
Que faire après une fuite de mots de passe ?
Si vous apprenez qu’un compte a été touché par une fuite, modifiez le mot de passe de ce compte dès que possible.
Si vous avez réutilisé ce mot de passe ailleurs, modifiez également ces mots de passe. Chaque compte devrait avoir son propre mot de passe unique.
Vous devriez également envisager d’activer l’authentification multifacteur lorsque le service la prend en charge. Cela fournit un facteur d’authentification supplémentaire au-delà du mot de passe.
Pour les comptes importants, comme votre compte e-mail principal, soyez particulièrement vigilant. Votre compte e-mail peut être utilisé pour réinitialiser les mots de passe de nombreux autres services.
Comment un gestionnaire de mots de passe peut-il vous aider ?
Retenir un mot de passe différent et robuste pour chaque compte peut être difficile. Un gestionnaire de mots de passe peut générer et stocker de manière sécurisée des mots de passe uniques, afin que vous n’ayez pas à tous les mémoriser.
Plutôt que de créer des variantes prévisibles du même mot de passe, vous pouvez utiliser un mot de passe différent généré aléatoirement pour chaque service.
Si un service subit une fuite, le mot de passe exposé est alors moins utile contre vos autres comptes, puisque ceux-ci utilisent des identifiants différents.
Qu’est-ce qu’une analyse de fuites ?
Certains gestionnaires de mots de passe proposent une fonctionnalité communément appelée analyse de fuites. Ce type de fonctionnalité peut comparer les informations associées à vos mots de passe enregistrés avec des informations provenant de fuites connues.
Des approches respectueuses de la vie privée peuvent être utilisées pour effectuer ces vérifications sans envoyer le mot de passe complet à un service externe. La k-anonymité, par exemple, permet à un système d’effectuer certaines vérifications de fuites sans transmettre directement le mot de passe complet.
L’implémentation exacte varie selon les produits. Il est donc utile de vérifier comment un gestionnaire de mots de passe donné effectue ses vérifications et quelles informations quittent l’appareil.
Fuites de mots de passe et KeenPassword Vault
KeenPassword Vault inclut une fonctionnalité d’analyse des fuites conçue pour aider à identifier les mots de passe associés à des données de fuite connues.
L’analyse utilise une approche basée sur la k-anonymité. Vos mots de passe réels et votre clé maître ne sont pas envoyés sur le réseau pendant la vérification des fuites.
KeenPassword Vault est également conçu comme un gestionnaire de mots de passe 100 % hors ligne. Votre coffre-fort reste stocké localement sur votre ordinateur Windows au lieu d’être synchronisé avec un compte cloud.
Conserver des mots de passe uniques, utiliser des identifiants robustes et vérifier régulièrement si des données sont connues comme ayant été exposées sont autant de mesures utiles pour maintenir une bonne sécurité des mots de passe.
En résumé
Une fuite de mots de passe peut exposer des identifiants que des attaquants peuvent tenter d’utiliser contre le compte concerné ou contre d’autres comptes.
L’un des moyens les plus efficaces de réduire l’impact d’un mot de passe compromis consiste à utiliser un mot de passe unique pour chaque compte. Un gestionnaire de mots de passe peut rendre cela plus facile en générant et en stockant des mots de passe robustes et uniques.
Si un compte est touché par une fuite, modifiez son mot de passe, changez également tous les mots de passe réutilisés ailleurs et envisagez d’activer l’authentification multifacteur lorsqu’elle est disponible.