Mots de passe et double authentification

Comment les mots de passe sont volés

Les attaquants n’ont généralement pas besoin de « pirater » votre ordinateur pour obtenir un mot de passe :

• Fuites de données : un site dont vous êtes client est piraté ; sa base d’identifiants circule ensuite sur Internet.
• Réutilisation : si vous utilisez le même mot de passe pour ce site et pour votre messagerie professionnelle, l’attaquant essaie simplement la même combinaison ailleurs. Cette technique automatisée teste des milliers de comptes en peu de temps.
• Devinette : des programmes essaient les mots de passe les plus courants (123456, azerty, prénom + année de naissance, nom de l’entreprise + 2026!).
• Hameçonnage : on vous fait saisir votre mot de passe sur une fausse page (leçon 2).

Un bon mot de passe : long et unique

Un mot de passe robuste est d’abord long. Une méthode simple est la phrase de passe : plusieurs mots sans lien entre eux, éventuellement séparés par des caractères.

Faible : Paris2026!
Faible : NomDeLEntreprise1
Robuste : girafe-Tonnerre-citron-7-escalier

Évitez toute information personnelle (prénoms, dates, animal de compagnie) que l’on trouve facilement sur les réseaux sociaux.

Surtout, chaque service doit avoir son propre mot de passe. C’est la règle la plus importante : elle limite les dégâts d’une fuite à un seul compte.

Le gestionnaire de mots de passe

Retenir des dizaines de mots de passe longs et uniques est impossible. Un gestionnaire de mots de passe les stocke de façon chiffrée, les génère pour vous et les remplit automatiquement sur le bon site. Vous ne retenez qu’un seul mot de passe maître, très robuste.

Bonus de sécurité : le gestionnaire ne remplit pas automatiquement vos identifiants sur un faux site dont l’adresse diffère du vrai. Si le remplissage automatique ne fonctionne pas, c’est un signal d’alerte.

Au travail, utilisez le gestionnaire fourni ou approuvé par votre entreprise. Les carnets, post-it sous le clavier et fichiers « motsdepasse.xlsx » sont à proscrire.

L’authentification multifacteur (MFA)

La MFA (ou double authentification) demande, en plus du mot de passe, une deuxième preuve :

• un code ou une validation dans une application d’authentification sur votre téléphone ;
• une clé de sécurité physique ;
• un code reçu par SMS (mieux que rien, mais moins robuste que les méthodes précédentes).

Même si votre mot de passe a fui, l’attaquant ne peut pas se connecter sans la deuxième preuve. Activez la MFA en priorité sur la messagerie, les accès à distance, les outils d’administration et tout compte donnant accès à de l’argent ou à des données sensibles.

Les pièges de la MFA

Les attaquants s’adaptent :

• Bombardement de notifications : ils envoient des dizaines de demandes de validation en espérant que vous finirez par appuyer sur « Approuver » par lassitude. N’approuvez jamais une demande que vous n’avez pas initiée, et signalez-la : elle signifie que votre mot de passe est connu.
• Demande du code par téléphone : un faux technicien vous appelle et demande « le code que vous venez de recevoir ». Aucun service légitime ne vous demandera ce code. Ne le communiquez à personne.

En résumé

Long, unique, stocké dans un gestionnaire, protégé par la MFA, jamais partagé : ces cinq réflexes bloquent la grande majorité des attaques sur les comptes.