Pulvérisation de mots de passe
En clair
Plutôt que d'essayer mille mots de passe sur votre compte, l'attaquant en essaie un seul — très courant — sur mille comptes. Aucun compte n'est bloqué, parce qu'aucun n'a subi plus d'une tentative.
Ce que cherche l'attaquant : prendre le contrôle d'un compte.
Définition
La pulvérisation de mots de passe consiste à tester un très petit nombre de mots de passe très répandus sur un très grand nombre de comptes, de façon à rester sous le seuil de tentatives qui déclencherait un verrouillage.
Comment ça fonctionne
Les protections d'un service comptent les échecs par compte : trois ou cinq essais ratés, et l'accès se bloque. L'attaquant inverse donc la boucle. Il part d'une liste de comptes — souvent des adresses professionnelles, dont la forme est prévisible à partir de l'organigramme — et teste un seul mot de passe sur toute la liste, puis attend, puis en teste un deuxième. Les mots de passe choisis ne sont pas aléatoires : ce sont ceux que les politiques de sécurité produisent mécaniquement, une saison suivie de l'année, le nom de l'entreprise suivi d'un point d'exclamation, ou le motif du clavier que tout le monde tape quand on exige un changement trimestriel. Il suffit d'un seul compte pour entrer, et dans une organisation de plusieurs centaines de personnes, il y en a presque toujours un.
Sur quoi cette attaque s'appuie
Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.
Signaux d'alerte
- Connexions réussies depuis un lieu ou un appareil inhabituel sur un compte peu utilisé
- Vague d'échecs d'authentification répartis sur de nombreux comptes, visible côté administrateur
- Compte de service ou boîte partagée, sans double authentification, utilisé à des heures anormales
- Politique interne imposant un changement fréquent, qui pousse aux mots de passe à motif
- Adresses professionnelles construites selon un format devinable et publiées en ligne
Comment vérifier
Côté utilisateur, l'historique de connexion du compte est le seul indice : une connexion réussie que vous ne reconnaissez pas. Côté organisation, la signature est un taux d'échec faible mais très étalé, invisible si l'on ne surveille que les comptes pris isolément. Les comptes de service et les boîtes partagées sont à vérifier en premier : ce sont ceux que personne ne surveille.
Que faire
Ne construisez pas votre mot de passe sur un motif — saison, année, nom de l'entreprise, suite du clavier — même s'il satisfait les règles de complexité affichées. Une phrase longue et sans rapport avec vous résiste, là où « Automne2026! » figure dans toutes les listes. Activez la double authentification, qui rend la réussite d'un essai insuffisante.
Si c'est déjà arrivé
Changez le mot de passe du compte et de tous ceux qui partageaient le même motif, pas seulement le même mot. Révoquez les sessions actives, vérifiez les règles de transfert de la messagerie et les autorisations d'applications tierces. En organisation, l'incident concerne rarement un seul compte : demandez une vérification sur l'ensemble du domaine plutôt que sur le vôtre.
Questions fréquentes
- Mon mot de passe respectait toutes les règles de complexité.
- Les règles de complexité vérifient une forme, pas une originalité. « Automne2026! » contient une majuscule, des chiffres et un caractère spécial, et figure pourtant en tête des listes d'essai, précisément parce que ces règles poussent tout le monde vers les mêmes constructions.
- En quoi est-ce différent d'une attaque par force brute ?
- La force brute essaie beaucoup de mots de passe sur un compte, ce qui déclenche le verrouillage. La pulvérisation essaie peu de mots de passe sur beaucoup de comptes, ce qui ne déclenche rien. C'est la même idée retournée pour contourner exactement la protection qui existe.
Attaques liées
Sources officielles
Aussi appelée : password spraying, attaque par pulvérisation, essai de mots de passe courants.
Cette fiche fait partie de la famille Identifiants et comptes. Mise à jour : 2026-09-02.