Bourrage d'identifiants

Définition

Le bourrage d'identifiants consiste à réutiliser des couples identifiant / mot de passe issus d'une fuite de données sur d'autres services, en pariant sur le fait que la même personne a employé le même mot de passe ailleurs.

Comment ça fonctionne

Lorsqu'un service est compromis, les identifiants qu'il détenait circulent ensuite sous forme de listes. L'attaquant ne cherche pas à deviner un mot de passe : il dispose déjà du vôtre, et l'essaie automatiquement sur des dizaines de services courants — messagerie, commerce, réseaux sociaux. Aucune faille n'est exploitée sur le service visé, et la connexion apparaît légitime puisqu'elle utilise le bon mot de passe. C'est pourquoi la réutilisation d'un mot de passe transforme la fuite d'un service en compromission de tous les autres, parfois des années après la fuite d'origine.

Pourquoi ça marche

Retenir un mot de passe différent par service paraît impossible, alors on en réutilise un. Une fuite chez un site oublié semble sans conséquence, et rien ne prévient que ce même mot de passe ouvre aussi la messagerie.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Notification de connexion depuis un appareil ou un lieu inhabituel
• Email de réinitialisation de mot de passe que vous n'avez pas demandé
• Mot de passe qui ne fonctionne plus alors que vous ne l'avez pas changé
• Service vous signalant que votre adresse figure dans une fuite de données
• Activité inexpliquée sur un compte secondaire, apparemment sans valeur

Comment vérifier

Consultez l'historique des connexions du compte, que la plupart des grands services proposent dans leurs paramètres de sécurité : il indique dates, appareils et localisations approximatives. Vérifiez aussi les règles de transfert automatique de votre messagerie, souvent modifiées après une intrusion.

Les questions à se poser, dans l'ordre

1. 1

   Recevez-vous une alerte de connexion ou de réinitialisation que vous n'expliquez pas ?

   Si oui : Ouvrez le service par votre favori ou l'application et changez le mot de passe.

2. 2

   Ce mot de passe sert-il aussi sur d'autres comptes ?

   Si oui : Changez-le partout, en commençant par la messagerie.

3. 3

   L'historique du compte montre-t-il des connexions inconnues ?

   Si oui : Déconnectez toutes les sessions, vérifiez les règles de transfert et activez la double authentification.

Que faire

Utilisez un mot de passe différent pour chaque service — un gestionnaire de mots de passe rend cela praticable — et activez la double authentification au moins sur la messagerie et la banque. Un mot de passe unique par service suffit à neutraliser complètement cette attaque.

Si c'est déjà arrivé

Changez le mot de passe du compte concerné, puis celui de tous les comptes qui partageaient le même. Commencez par la messagerie principale : elle permet de réinitialiser tous les autres. Révoquez les sessions actives, vérifiez les règles de transfert et activez la double authentification.

• Checklist d'urgence : « Vous n'avez plus accès à un compte, ou il envoie des messages sans vous »
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Un mot de passe différent par service, avec un gestionnaire de mots de passe.
• La double authentification, au moins sur la messagerie et la banque.
• Fermez les comptes que vous n'utilisez plus : leurs mots de passe peuvent fuiter aussi.

Les gestes qui déjouent cette attaque

• Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.
• Comment un mot de passe est réellement voléComment les pirates obtiennent-ils un mot de passe ?
• Activer la double authentification, et bien la choisirComment protéger mes comptes avec la double authentification ?
• Reprendre un compte piraté (messagerie, réseau social)Mon compte a été piraté, comment le récupérer ?

Questions fréquentes

Mon mot de passe est complexe, suis-je protégé ?

Non, et c'est ce qui distingue cette attaque des autres : elle n'essaie pas de deviner. Un mot de passe très long reste inutile s'il a fuité ailleurs et s'il est réutilisé. Le critère qui protège est l'unicité, pas la complexité.

Un vieux compte oublié peut-il vraiment poser problème ?

Oui. Il porte souvent une adresse email encore active et un mot de passe réutilisé depuis. C'est un point d'entrée fréquent, précisément parce que personne ne le surveille.

Attaques liées

• Contournement de la double authentification
• Piratage de messagerie
• Phishing (hameçonnage)
• Attaque par homoglyphes
• Chantage au faux piratage
• Chantage après une fuite de données
• Pulvérisation de mots de passe
• Attaque par force brute
• Piratage d'un compte de réseau social
• Caméra de surveillance piratée
• Fuite de données

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement