Chaque année, le premier jeudi de mai, les professionnels de la cybersécurité incitent le public à renforcer son hygiène en matière de mots de passe. En 2025, cette tradition pourrait être dépassée. Pourquoi ? Parce que notre dépendance excessive aux mots de passe devient précisément le risque que nous cherchons à éviter.
Tribune CheckPoint – Selon le Data Breach Investigations Report de Verizon (2024), 81 % des violations de données impliquent encore des mots de passe faibles ou volés. À mesure que les acteurs malveillants évoluent et que l’IA s’intègre à leurs outils, même les mots de passe les plus robustes peuvent être brisés en quelques minutes, et non plus en plusieurs mois. Il est temps de se demander : s’accroche-t-on à une méthode de sécurité obsolète qui nous freine ?
Le problème des mots de passe aujourd’hui
Les données sont accablantes. Selon Nordpass, le mot de passe faible « 123456 » continue d’être utilisé et peut être craqué par des pirates en moins d’une seconde. Une enquête en ligne sur la sécurité menée par Google et Harris Poll en février 2019 a révélé qu’au moins 65 % des personnes réutilisent leurs mots de passe sur plusieurs, voire tous, les sites, les exposant ainsi à des attaques massives de type credential stuffing.
Les nouvelles menaces ne font qu’aggraver ce risque. Les attaques par force brute sont passées des CPU aux GPU haut débit — certains pouvant deviner plus d’un million de combinaisons de mots de passe par seconde — ce qui signifie que ce qui prenait autrefois des années peut désormais être réalisé en quelques minutes à l’aide d’outils améliorés par l’IA.
Le côté obscur des mots de passe : une économie du cybercrime
Le marché clandestin des identifiants volés est vaste et lucratif. On estime que plus de 24,6 milliards de combinaisons nom d’utilisateur-mot de passe circulent actuellement sur les places de marché cybercriminelles — bien que l’ampleur réelle soit difficile à vérifier en raison de la revente répétée des données volées. Vendues en masse, ces informations d’identification deviennent encore moins chères — comme l’a montré l’escroquerie sur Booking.com, où des milliers d’identifiants étaient vendus pour seulement 2 000 $, avec de nouveaux identifiants proposés chaque mois en fonction des violations et des fuites de données. Les identifiants les plus précieux concernent la banque, l’email, le cloud, les cryptomonnaies, les VPN d’entreprise et les comptes de réseaux sociaux, souvent réutilisés pour le phishing, le vol d’identité, les campagnes de malwares et les compromissions de courriels professionnels.
Derrière ces vols se trouvent certains des groupes de menaces les plus sophistiqués au monde, dont Kimsuky (Corée du Nord), MuddyWater (Iran) et APT28/29 (Russie), utilisant fréquemment des malwares comme Lumma et des plateformes de MaaS (Malware-as-a-Service), ciblant les jetons MFA et les portefeuilles crypto, diffusés via des bots sur Telegram, rendant ainsi le vol d’informations à grande échelle possible et rentable. Il a été rapporté qu’en 2024 seulement, 3,9 milliards d’identifiants ont été compromis via des infections de malwares sur 4,3 millions d’appareils.
Même l’authentification multifacteur (MFA), bien que cruciale, est mise en difficulté par des outils comme EvilProxy, capables d’intercepter les jetons MFA. Cette économie du cybercrime grandissante n’est pas seulement une menace technique — c’est un écosystème géopolitique et économique, puisque ces menaces peuvent désormais venir de partout grâce aux plateformes MaaS et PhaaS (Phishing-as-a-Service). Avec également l’Infostealer-as-a-Service et des kits de phishing en location, ces attaques ne sont plus réservées aux acteurs étatiques — elles sont accessibles à quiconque dispose d’un portefeuille Bitcoin.
L’essor de l’authentification sans mot de passe
À l’inverse, la sécurité sans mot de passe devient non seulement possible — mais pratique. Des entreprises comme Google, Microsoft et Shopify déploient les Passkeys — des clés cryptographiques chiffrées associées à une authentification biométrique ou basée sur l’appareil.
Microsoft souhaite que ses plus d’un milliard d’utilisateurs cessent d’utiliser des mots de passe pour se connecter à leurs comptes Microsoft, tandis que Gartner prévoit que 60 % des entreprises auront éliminé les mots de passe pour la plupart des cas d’usage d’ici 2025.
Dans des secteurs comme la finance, la santé et le gouvernement, les jetons matériels, les connexions multifactorielles et l’identification biométrique prennent le relais. Même dans des pays comme Singapour et l’Inde, des systèmes d’identité numérique soutenus par le gouvernement accélèrent l’adoption du sans mot de passe pour l’accès aux services bancaires, d’assurance et de santé.
À Singapour, par exemple, le système National Digital Identity (NDI) basé sur Singpass connecte plus de 700 agences gouvernementales et entreprises privées. Des options comme la reconnaissance faciale, les cartes d’identité numériques et les QR codes permettent de confirmer rapidement et de manière plus sécurisée l’identité des utilisateurs que les mots de passe traditionnels. En Inde, Aadhaar — le plus grand système biométrique au monde — permet une vérification sécurisée de l’identité numérique via OTP et biométrie, tandis que la feuille de route australienne pour l’identité numérique investit dans des cadres fédérés sans mot de passe.
Résistance comportementale : pourquoi nous nous accrochons encore aux mots de passe
Malgré les avancées en matière de sécurité, les gens font encore confiance à ce qu’ils connaissent — et les mots de passe restent familiers. Mais cette familiarité a un prix. Les mots de passe sont facilement devinés, oubliés, partagés ou volés.
Check Point souligne que la mauvaise hygiène des mots de passe — comme la réutilisation des mots de passe, leur écriture sur papier, ou l’utilisation de données personnelles — reste un maillon faible majeur de la sécurité, tant professionnelle que personnelle.
Pire encore, les attaques de phishing — souvent générées par IA — continuent de voler massivement les identifiants de connexion, malgré la présence de la double authentification (2FA). L’essor du phishing par IA et des attaques par deepfakes rend les systèmes basés sur des mots de passe encore plus vulnérables.
Les risques liés au maintien des mots de passe dans un monde post-IA
L’évolution de l’IA rend l’authentification par mot de passe obsolète :
- Les modèles d’apprentissage profond sont entraînés sur des milliards de mots de passe divulgués et peuvent prédire les schémas communs plus rapidement que jamais.
- Les attaques d’usurpation d’identité vocale et vidéo à l’aide de deepfakes peuvent contourner même l’authentification multifacteur si celle-ci repose sur des couches d’identité faibles.
- Les GPU basés sur le cloud démocratisent la capacité de casser des mots de passe à grande échelle, permettant aux groupes de rançongiciel comme aux script kiddies de compromettre rapidement des systèmes.
En résumé : plus nous tardons à passer au sans mot de passe, plus nous nous exposons.
Ce que les organisations doivent faire dès maintenant
- Piloter des systèmes sans mot de passe en utilisant la biométrie, les jetons ou les Passkeys.
- Utiliser des outils comme Check Point Harmony pour prévenir la réutilisation des mots de passe et le phishing.
- Mettre en œuvre des solutions de gestion des accès privilégiés (PAM) et des architectures Zero Trust.
- Sensibiliser les équipes non seulement à créer des mots de passe plus forts, mais aussi à les éliminer progressivement.
Check Point insiste sur la longueur, la diversité et l’unicité des mots de passe, tout en étant aligné sur la nécessité d’explorer des approches post-mot de passe.
La Journée mondiale du mot de passe ne devrait pas se limiter à la création de mots de passe plus forts. Elle devrait inciter à imaginer un avenir sans mots de passe. Les outils existent. Les menaces l’exigent. Seule manque notre volonté de les abandonner.
