Un collaborateur du service comptabilité utilise le même mot de passe depuis trois ans : le prénom de son fils suivi de « 123 ». Le jour où ce mot de passe apparaît dans une base de données compromise, l’attaquant accède au logiciel de facturation en quelques secondes, sans forcer quoi que ce soit. Ce scénario n’est pas théorique, on le retrouve dans la majorité des incidents liés aux identifiants en entreprise.
Credential stuffing : comment un mot de passe simple ouvre plusieurs portes
Le premier problème des mots de passe trop simples ne tient pas à leur longueur ou à l’absence de caractères spéciaux. Il tient à leur réutilisation. Selon une étude Bitwarden, 84 % des internautes réutilisent leurs mots de passe sur plusieurs comptes et services.
En pratique, quand un mot de passe fuite sur un site tiers (boutique en ligne, forum, outil SaaS secondaire), il est injecté automatiquement sur des dizaines d’autres services. C’est le credential stuffing : des listes massives d’identifiants volés testées en rafale contre des portails d’entreprise, des messageries, des VPN.
Un mot de passe complexe mais réutilisé reste vulnérable. Un mot de passe simple et réutilisé, c’est une porte ouverte. Le rapport Verizon 2025 Data Breach Investigations Report confirme que le vol d’identifiants reste un mécanisme central des intrusions, avec des credentials volés présents dans une part significative des compromissions comme vecteur d’accès initial.
Mots de passe faibles en entreprise : ce que disent les bases compromises
Specops Software a analysé 800 millions de mots de passe piratés. Le constat est net : la majorité de ces mots de passe respectaient pourtant les règles minimales de longueur (8 caractères). Beaucoup contenaient un mot du dictionnaire, un prénom, une saison ou une référence culturelle prévisible.
Kaspersky, en analysant 193 millions de mots de passe récupérés sur le dark web, a trouvé que 45 % sont devinables en moins d’une minute. Parmi ceux-ci, 57 % contenaient un mot du dictionnaire, et seuls 19 % présentaient des signes de combinaison réellement forte.
Les schémas les plus exploités par les attaquants
- Mots du dictionnaire suivis de chiffres séquentiels (« martin2024 », « accueil123 »), devinables par des outils de brute force en quelques secondes
- Références saisonnières ou culturelles (noms de séries, équipes sportives, saisons), qui figurent dans les dictionnaires d’attaque standard
- Mots de passe partagés entre collègues pour des comptes « génériques » (accueil, support, compta), sans traçabilité individuelle en cas d’incident
Selon Deloitte, les 1 000 mots de passe les plus courants suffisent potentiellement à accéder à 91 % des services en ligne. En entreprise, on retrouve les mêmes schémas, aggravés par l’absence fréquente de politique de blocage après tentatives échouées.
Politique de renouvellement : la fausse bonne idée qui persiste
On impose encore dans beaucoup de structures un changement de mot de passe tous les 60 ou 90 jours. L’intention est compréhensible. Le résultat est contre-productif : les utilisateurs ajoutent un chiffre à la fin du mot de passe existant, alternent entre deux variantes, ou notent le nouveau mot de passe sur un post-it.
La version finale NIST SP 800-63B-4, publiée en 2025, tranche clairement sur ce point. Le renouvellement périodique obligatoire n’est plus recommandé, sauf en cas de compromission avérée ou suspectée. Cette évolution marque une rupture avec des politiques encore très répandues dans les PME et les grands groupes.
Ce que le NIST recommande à la place
Les nouvelles directives imposent le blocage des mots de passe déjà compromis (vérification contre des bases de données de fuites connues) et abandonnent les exigences classiques de complexité (majuscule + chiffre + caractère spécial). Le NIST exige aussi la mise à disposition d’au moins une méthode d’authentification résistante au phishing au niveau AAL2.
Concrètement, cela signifie qu’un mot de passe long et unique, non présent dans une base de fuites, protège mieux qu’un mot de passe complexe changé tous les trimestres et noté dans un fichier Excel partagé.
Authentification multifacteurs et passkeys : où en sont les entreprises
L’authentification multifacteurs (MFA) réduit drastiquement le risque lié aux mots de passe faibles. Même si un identifiant fuite, le second facteur (code temporaire, clé physique, notification push) bloque l’accès. Sans MFA, un mot de passe compromis suffit à entrer.
La transition vers le sans mot de passe s’accélère, mais reste incomplète en entreprise. Le déploiement des passkeys (clés cryptographiques liées à un appareil) dépasse désormais le stade pilote : c’est un sujet de masse, porté par les grands éditeurs (Microsoft, Google, Apple). Les retours varient selon les environnements et la maturité IT des équipes, mais le mouvement est engagé.
Ce qui freine encore l’adoption
- Parc applicatif hétérogène : certains outils métiers anciens ne supportent ni MFA ni passkeys, ce qui crée des zones non couvertes
- Résistance des utilisateurs habitués à saisir un mot de passe simple, surtout sur des postes partagés (ateliers, accueil, entrepôts)
- Coût et complexité de déploiement d’une solution de gestion des identifiants centralisée, en particulier pour les structures de moins de 50 postes
Le gestionnaire de mots de passe reste un outil intermédiaire pertinent. Il génère des mots de passe longs et uniques pour chaque service, stockés dans un coffre-fort chiffré. Mais il ne remplace pas le MFA : les deux se complètent, l’un ne dispense pas de l’autre.
La faiblesse des mots de passe en entreprise n’est pas un problème de sensibilisation abstraite. C’est un problème d’outillage, de politique technique et de choix concrets au niveau de chaque poste. Tant que des comptes critiques restent protégés par un seul mot de passe réutilisé, le reste de l’infrastructure de sécurité perd une grande partie de son efficacité.