Aller au contenu

Comment un mot de passe est réellement volé

En bref

Il y a trois chemins, et deviner n'en fait pas partie. Soit ils l'ont déjà, parce qu'il a fuité chez un service que vous utilisiez et qu'ils l'essaient ailleurs. Soit c'est vous qui le saisissez, sur une page qui imite un site que vous connaissez. Soit un logiciel installé sur votre machine le récolte. La longueur d'un mot de passe ne protège d'aucun des trois — seule son unicité le fait.

Pourquoi cette méthode fonctionne

L'image du pirate qui « craque » un mot de passe caractère par caractère décrit mal ce qui se passe, pour une raison mécanique : les services limitent les tentatives et verrouillent le compte au bout de quelques essais, ce qui rend cette voie impraticable quelle que soit la puissance de calcul. Les trois chemins ci-dessous contournent le problème au lieu de l'affronter — ils n'ont pas besoin de deviner. C'est pourquoi les conseils utiles portent sur l'unicité et le second facteur plutôt que sur la complexité : la complexité ne défend que contre la voie que personne n'emprunte.

Pas à pas

  1. La fuite chez un tiers, puis la réutilisation

    Un site est compromis, ses identifiants circulent par lots, et un attaquant les essaie automatiquement sur des dizaines d'autres services. Rien n'est deviné : votre mot de passe est connu, et il ouvre tout ce qui le partage. Ce chemin ne coûte presque rien à l'attaquant — il n'a ni faille à trouver ni victime à convaincre — et le seul remède est un mot de passe différent par service.

  2. La saisie sur une fausse page

    Une page imitant un service légitime récolte ce que vous y tapez. Aucune faille n'est exploitée : la saisie est volontaire, ce qui rend l'attaque indépendante de la robustesse du mot de passe.

  3. Le logiciel installé sur votre appareil

    Un programme récolte les mots de passe enregistrés dans le navigateur, les cookies de session et les frappes au clavier. Il a fallu qu'il soit installé, et cela suppose une action de votre part : un fichier ouvert, une fausse mise à jour acceptée, une application prise ailleurs que dans un magasin officiel. C'est ce qui le rend évitable.

  4. Le contournement du second facteur

    Quand un mot de passe ne suffit plus, l'attaquant demande le code — au téléphone, dans la seconde qui suit son envoi — ou noie la victime de demandes d'approbation. Recevoir un code que vous n'avez pas demandé signifie une seule chose : quelqu'un connaît déjà votre mot de passe.

Les erreurs les plus fréquentes

  • Chercher la complexité plutôt que l'unicité : un mot de passe très long reste inutile s'il a fuité et qu'il est réutilisé.
  • Négliger un vieux compte sans valeur : il porte souvent un mot de passe encore utilisé ailleurs.
  • Changer le mot de passe du seul compte alerté, en laissant les autres qui le partagent.
  • Croire qu'un gestionnaire de mots de passe est risqué : le risque qu'il supprime — la réutilisation — est celui qui cause l'essentiel des compromissions.
  • Compter uniquement sur le SMS comme second facteur, alors que le numéro lui-même peut être détourné.

Les attaques que ce geste déjoue

Sources officielles

Les autres guides · Mise à jour : 2026-09-02.