Attaque par force brute
brute force · force brute · password spraying · pulvérisation de mots de passe · attaque par dictionnaire · cassage de mots de passe
Attaque qui essaie systématiquement un grand nombre de mots de passe jusqu’à trouver le bon, soit en ligne sur un service de connexion, soit hors ligne sur des empreintes de mots de passe volées.
En pratique
La version naïve teste des milliers de mots de passe sur un seul compte et déclenche vite un verrouillage. La pulvérisation (password spraying) fait l’inverse : quelques mots de passe très courants, du type « Printemps2026! », essayés lentement sur des centaines de comptes. Hors ligne, une base d’empreintes volée se casse d’autant plus vite que le hachage est rapide ou sans sel. Des mots de passe longs et la double authentification rendent ces attaques largement inefficaces.
En octobre 2024, la CISA, le FBI et leurs partenaires ont alerté sur des acteurs iraniens qui, depuis octobre 2023, combinaient pulvérisation de mots de passe et bombardement de notifications de double authentification contre la santé, l’énergie et des administrations, probablement pour revendre les accès.
Comment s’en protéger
- Double authentification résistante à l’hameçonnage sur les accès exposés ; ne jamais valider une notification inattendue.
- Phrases de passe longues et interdiction des mots de passe courants.
- Verrouillage progressif et alertes sur les échecs de connexion répartis sur plusieurs comptes.
- Stocker les mots de passe avec un hachage lent et salé (Argon2, bcrypt).
