Rembourrage crédible: pourquoi une fuite à X peut obtenir votre compte à Y piraté

C'est l'un des paradoxes les plus troublants de la sécurité: une fuite à un service que vous utilisez à peine peut conduire à votre compte bancaire être piraté. Le coupable a un nom technique mais un mécanisme très simple : la farce des titres. Comprendre cela signifie comprendre pourquoi la réutilisation des mots de passe est si dangereuse, et pourquoi notre détecteur de réutilisation existe.

Qu'est-ce que la farce d'identité?

Il s'agit d'une attaque qui consiste à tester en masse les combinaisons de courriels volés + mots de passe sur autant de sites différents que possible. Lorsqu'un service est piraté et que ses lettres d'identité fuient, les attaquants n'essayent pas simplement ces lettres d'identité sur le service affecté : ils les essaient partout ailleurs (banques, boîtes aux lettres, réseaux sociaux, magasins), parant que beaucoup de gens réutilisent le même mot de passe. Le nom vient de l'idée de « farce » des milliers de sites avec les mêmes identifiants volés.

Pourquoi cette attaque est-elle si efficace ?

Parce qu'il exploite un défaut humain, pas technique : la réutilisation du mot de passe. Les attaquants n'essayent pas les combinaisons un à un. Ils utilisent des robots et une puissance de calcul importante pour tenter des connexions en masse sur des centaines de sites simultanément. Étant donné qu'une grande partie des internautes réutilisent leurs mots de passe, une seule combinaison volée ouvre statistiquement plusieurs comptes. L'attaque ne fait rien de nouveau : elle essaie simplement une clé volée sur chaque serrure, sachant qu'elle en ouvrira plusieurs.

Comment pouvez-vous vous protéger de la farce de vos titres de compétence?

La défense est entièrement entre vos mains, et c'est simple à dire :

• Un mot de passe unique par compte : c'est la sauvegarde absolue. Une clé volée n'ouvre qu'une serrure, déjà verrouillée si vous l'avez changée.
• Authentification à deux facteurs : elle bloque la grande majorité des tentatives automatisées, même avec un mot de passe correct.
• Un gestionnaire de mots de passe : la seule façon réaliste de maintenir l'unicité sur des dizaines de comptes.

Comment savoir si je suis vulnérable à la farce d'identité ?

C'est exactement ce que notre détecteur de réutilisation révèle. En combinant notre vérificateur de mot de passe k-anonyme avec vos attestations d'unicité, nous découvrons des situations à risque : un mot de passe qui a fui et que vous pourriez avoir réutilisé ailleurs. Si vous avez attesté l'unicité d'un mot de passe tout en testant un mot de passe identique compromis, nous vous alertons doucement. C'est la faille la plus exploitée au monde, et la seule sur laquelle vous avez un contrôle total : ne réutilisez tout simplement jamais un mot de passe.