Bourrage d’identifiants (credential stuffing)
credential stuffing · bourrage d’identifiants · réutilisation de mots de passe · combolist · prise de contrôle de compte · account takeover · ATO
Attaque automatisée qui teste en masse, sur un site, des couples identifiant et mot de passe volés ailleurs, en pariant que les utilisateurs réutilisent les mêmes mots de passe.
En pratique
Les identifiants issus de fuites de données circulent en très grand nombre sous forme de listes (« combolists »). Des robots les essaient sur des sites marchands, des banques ou des portails d’entreprise, en se répartissant sur de nombreuses adresses IP pour passer sous les radars. Le taux de réussite est faible, mais sur des millions d’essais il suffit : chaque compte pris donne accès à des données, à des points de fidélité ou à un moyen de paiement.
Exemple fictif : un salarié utilise le même mot de passe pour un forum de jardinage piraté et pour la messagerie de son entreprise. Un robot teste la combinaison sur le portail web de la messagerie : sans double authentification, l’attaquant lit ses e-mails et prépare une fraude au virement.
Comment s’en protéger
- Double authentification sur tous les accès exposés, idéalement par passkeys.
- Proscrire la réutilisation des mots de passe et fournir un gestionnaire de mots de passe.
- Détecter et freiner les connexions automatisées (limitation du débit, analyse des échecs).
- Refuser les nouveaux mots de passe figurant dans des listes de mots de passe compromis.
