Identifiants et comptes
Les attaques qui visent l'accès à un compte existant : mot de passe, second facteur, ou numéro de téléphone associé.
Ce que ces attaques ont en commun
Le compte est la cible, pas la conséquence. Une messagerie compromise sert ensuite à réinitialiser tous les autres comptes, ce qui en fait le point le plus sensible à protéger. La défense commune : un mot de passe unique par service, et une double authentification qui ne repose pas uniquement sur le SMS.
Techniques de cette catégorie
- Attaque par force bruteEssayer les mots de passe un par un jusqu'à tomber juste. Sur un site en ligne, c'est bloqué au bout de quelques essais — le vrai danger est ailleurs : sur un fichier de mots de passe volé, où l'attaquant essaie sans limite et sans que personne le voie.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Site web
- Bourrage d'identifiantsVotre mot de passe a fuité chez un site piraté, et quelqu'un l'essaie automatiquement partout ailleurs. Si vous utilisez le même mot de passe sur plusieurs services, ils tombent tous en même temps.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Site web
- Contournement de la double authentificationL'escroc a déjà votre mot de passe et déclenche une connexion. Il vous appelle dans la foulée pour vous faire dicter le code reçu — ou vous noie de notifications jusqu'à ce que vous en validiez une.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Téléphone
- Détournement de la récupération de compteL'attaquant n'essaie pas votre mot de passe : il clique sur « mot de passe oublié ». Tout se joue alors sur ce que le service accepte comme preuve que c'est bien vous — une question secrète, une vieille adresse email, un numéro que vous n'avez plus.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Site web
- Détournement de sessionQuand vous vous connectez, le site vous remet un jeton qui prouve que c'est bien vous, pour ne pas redemander le mot de passe à chaque page. Qui vole ce jeton entre à votre place — sans mot de passe, et sans code de vérification.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Site web
- Échange de carte SIMVotre numéro de téléphone est transféré vers une carte SIM que quelqu'un d'autre détient. Votre téléphone perd le réseau, et les codes de vérification par SMS arrivent chez lui.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Téléphone
- Infostealer (logiciel voleur d'identifiants)Un programme qui s'installe sur votre machine et vide, en quelques secondes, tout ce que votre navigateur avait retenu : mots de passe enregistrés, sessions ouvertes, moyens de paiement. Vous ne remarquez rien, parce qu'il n'y a rien à remarquer.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Pièce jointe
- Piratage d'un compte de réseau socialVotre compte devient un outil contre vos proches : c'est votre nom, votre photo et votre historique qui servent à leur écrire. Le préjudice n'est pas la perte du compte, il est ce qui est fait avec.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Réseaux sociaux
- Piratage de messagerieQuelqu'un entre dans votre boîte email et y crée une règle qui lui transfère une copie de tout. Comme la messagerie permet de réinitialiser tous vos autres comptes, elle ouvre le reste.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Email
- Pulvérisation de mots de passePlutôt que d'essayer mille mots de passe sur votre compte, l'attaquant en essaie un seul — très courant — sur mille comptes. Aucun compte n'est bloqué, parce qu'aucun n'a subi plus d'une tentative.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Site web
Les ressorts qu'elles exploitent
Nombre d'attaques de la famille, sur 10, qui s'appuient sur chaque levier psychologique.
- La confiance9 sur 10
- L'autorité3 sur 10
- L'urgence1 sur 10
- La peur1 sur 10
- La curiosité1 sur 10
- La récompense1 sur 10
- La pression sociale1 sur 10
Ce qu'elles cherchent à obtenir
- Prendre le contrôle d'un compte8 sur 10
- Voler des identifiants2 sur 10
Si c'est déjà arrivé
Les gestes dépendent de ce que vous avez fait ou donné.
- L'assistant « J'ai cliqué » : les gestes dans l'ordre, selon votre situation
- Comment un mot de passe est réellement volé
- Activer la double authentification, et bien la choisir
- J'ai saisi mon mot de passe sur un faux site : que faire
- J'ai donné mes coordonnées bancaires ou un code : que faire
- Reprendre un compte piraté (messagerie, réseau social)
- La checklist d'urgence, à imprimer
S'entraîner sur ces attaques
- Simulation : Attaque par force bruteUn email signale plusieurs tentatives de connexion échouées sur votre compte, avec un lien pour « sécuriser » l'accès.
- Simulation : Bourrage d'identifiantsUne connexion depuis un pays inconnu a réussi sur un compte dont vous aviez oublié l'existence.
- Simulation : Contournement de la double authentificationUn code arrive sans que vous ayez rien demandé, et le téléphone sonne dans la foulée.
- Simulation : Détournement de la récupération de compteUn email confirme le changement de votre adresse de secours, que vous n'avez pas modifiée.
- Simulation : Échange de carte SIMUn SMS de votre opérateur confirme un changement de carte SIM que vous n'avez pas demandé.
- Simulation : Piratage d'un compte de réseau socialUn ami vous écrit : « tu m'as envoyé un lien bizarre, tout va bien ? »
- Simulation : Piratage de messagerieVous avez changé votre mot de passe. Une règle de transfert, elle, est restée.
Autres catégories
- Ingénierie sociale
- Attaques de sites et navigateurs
- Fraudes financières
- Logiciels malveillants
- Téléphones et objets connectés
- Réseaux et Wi-Fi
- Données et identité numérique
- IA et contenus synthétiques
- Chantage, harcèlement et atteintes à la personne
Retrouvez l'ensemble des techniques documentées dans l'encyclopédie des attaques, ou entraînez-vous directement avec les simulations disponibles.