L’une des menaces cyber les plus pressantes auxquelles les entreprises sont confrontées aujourd’hui est la montée en flèche des identifiants compromis. Selon les données de Check Point External Risk Management (anciennement Cyberint), on observe une augmentation stupéfiante de 160 % des identifiants compromis en 2025 par rapport à 2024. Il ne s’agit pas simplement d’une statistique : c’est une menace directe pour la sécurité des entreprises. À la fin de l’année dernière, Check Point a signalé 14 000 cas en un seul mois où des identifiants d’employés – même conformes aux politiques internes de mot de passe – ont été exposés lors de violations de données, ce qui souligne un risque réel et immédiat. Tribune CheckPoint.
Quels sont les pays les plus ciblés ?
Sans surprise, les pays les plus peuplés dominent le classement des identifiants ciblés en 2025. Cependant, la présence de pays comme le Vietnam, le Pakistan et la Turquie, qui ne figurent pas parmi les dix premiers en termes de population, est préoccupante. Elle reflète l’augmentation de leur empreinte numérique et leur vulnérabilité croissante. La présence constante des États-Unis, en tant que plaque tournante mondiale, est également un signal d’alarme majeur.
Comment les mots de passe d’entreprise sont-ils compromis ?
Les méthodes utilisées par les cybercriminels pour voler des identifiants sont variées et sophistiquées, rendant inefficace toute stratégie de défense unique.
- Bases de données piratées : les attaquants infiltrent les systèmes pour accéder aux bases contenant noms d’utilisateur et mots de passe, en exploitant des vulnérabilités logicielles, des comptes administrateurs compromis ou via des attaques par injection.
- Phishing : les courriels trompeurs, le vishing (phishing vocal) et le smishing (phishing par SMS) sont des techniques courantes pour inciter les employés à divulguer des identifiants sensibles.
- Malwares : des logiciels malveillants, notamment des infostealers, peuvent être implantés sur des ordinateurs ou serveurs pour dérober directement les identifiants. Des keyloggers enregistrent les frappes clavier, capturant identifiants et mots de passe. Des logiciels espions avancés peuvent capturer des captures d’écran ou intercepter les données en transit.
La réalité est qu’il n’existe pas de méthode unique de vol d’identifiants, rendant indispensable une stratégie de défense globale.
Selon les recherches de Check Point ERM, les entreprises mettent en moyenne 94 jours pour remédier à des identifiants compromis provenant de dépôts GitHub.
Ce délai alarmant laisse un champ libre aux attaquants pour exploiter les comptes compromis et accéder à des données sensibles.
Que deviennent les identifiants volés ?
Une fois obtenus, ces identifiants précieux sont souvent regroupés en « combo-lists » puis vendus ou échangés sur des forums du web ouvert, deep ou dark. Les acteurs malveillants les achètent pour effectuer des prises de contrôle de comptes, accéder de manière non autorisée à des informations confidentielles, ou lancer des campagnes sophistiquées d’ingénierie sociale. Ces forums fonctionnent comme de véritables places de marché illicites, proposant une large gamme de données volées.
Les cybercriminels continuent de réussir à exploiter les identifiants, ce qui maintient cette méthode au cœur de leurs priorités. Ils innovent constamment pour contourner la MFA (authentification multi-facteurs) et améliorer leurs techniques de vol d’identifiants. Tant que cette méthode restera efficace, elle sera exploitée.
Les stratégies de défense à mettre en place
La protection des entreprises repose sur une approche multi-couches :
- Politique de gestion des mots de passe : imposer des changements réguliers et interdire la réutilisation de mots de passe sur plusieurs comptes.
- Authentification multi-facteurs (MFA) : ajoute une couche de sécurité, mais n’est pas infaillible.
- Authentification unique (SSO) : à privilégier pour réduire le risque global.
- Limitation des tentatives de connexion : empêche les attaques par force brute et le bourrage d’identifiants.
- Principe du moindre privilège (PoLP) : limiter les droits d’accès aux stricts besoins fonctionnels.
- Sensibilisation au phishing : former les employés à reconnaître et éviter les tentatives d’hameçonnage.
- Défenses réseau : IDS, pare-feu et autres outils pour bloquer les connexions suspectes.
- Blocage des sites tiers : restreindre l’accès aux sites web potentiellement vulnérables pouvant héberger des malwares.
« La détection proactive des identifiants divulgués est essentielle. Il est ainsi possible de surveiller les forums : des experts explorent les forums du deep/dark web pour repérer des combinaisons d’identifiants liées à l’entreprise. Les cybercriminels publient souvent des « logs » pour prouver leurs attaques. L’analyse des journaux peut révéler des indices utiles (taille, secteur, géolocalisation) même si la victime n’est pas explicitement nommée » explique Adrien Merveille, expert cybersécurité Check Point.
