Messagerie, banque, réseaux sociaux, sites marchands : chacun possède des dizaines de comptes en ligne. Impossible de retenir un mot de passe différent et complexe pour chacun. Beaucoup réutilisent donc le même, ce qui facilite le travail des pirates. Il existe pourtant des méthodes simples pour se protéger sans tout mémoriser.
Comment les comptes sont piratés
Comprendre les attaques aide à s’en protéger. Les pirates disposent de plusieurs techniques.
La plus simple consiste à essayer les mots de passe les plus courants. Les mots comme « 123456 », « azerty » ou « motdepasse » figurent chaque année en tête des listes établies à partir des fuites de données. Des logiciels testent aussi des milliers de combinaisons par seconde.
Une autre technique repose sur la réutilisation. Lorsqu’un site est piraté, les identifiants de ses utilisateurs sont souvent publiés ou revendus. Les pirates les essaient ensuite sur d’autres services. Si vous utilisez le même mot de passe partout, une seule fuite suffit à ouvrir tous vos comptes.
Enfin, l’hameçonnage consiste à vous inciter à saisir vos identifiants sur un faux site, à la suite d’un courriel ou d’un message qui imite un organisme connu.
La phrase de passe
Un bon mot de passe doit être long, imprévisible et unique. La longueur compte davantage que la complexité. Un mot de passe de huit caractères mélangeant lettres, chiffres et symboles peut être plus facile à casser qu’une phrase longue composée de mots simples.
Les autorités françaises recommandent ainsi l’usage de phrases de passe. Choisissez plusieurs mots sans lien logique entre eux, et assemblez-les. Par exemple, quatre ou cinq mots tirés au hasard, séparés par des tirets ou des chiffres. Une telle phrase est facile à retenir et très difficile à deviner.
Évitez les informations personnelles : date de naissance, nom de votre animal, de votre ville, de votre équipe préférée. Elles se trouvent souvent facilement en ligne.
Le gestionnaire de mots de passe
Une phrase de passe pour chaque compte reste difficile à mémoriser. La solution la plus efficace est le gestionnaire de mots de passe. C’est un logiciel qui stocke tous vos identifiants dans un coffre chiffré. Vous n’avez à retenir qu’un seul mot de passe, très solide : celui du coffre.
Le gestionnaire peut aussi générer des mots de passe aléatoires et les remplir automatiquement sur les sites. Il évite les erreurs de frappe et protège en partie contre l’hameçonnage, car il ne propose pas vos identifiants sur un faux site dont l’adresse diffère.
Il en existe de nombreux, gratuits ou payants, ainsi que des gestionnaires intégrés aux navigateurs et aux téléphones. L’ANSSI, l’agence nationale chargée de la sécurité informatique, a certifié certains logiciels. Choisissez un outil reconnu et maintenu à jour.
La double authentification
La protection la plus importante est peut-être la double authentification, aussi appelée authentification à deux facteurs ou multifacteur. En plus du mot de passe, le service demande une seconde preuve d’identité. Il peut s’agir d’un code envoyé par SMS, d’un code généré par une application, d’une validation sur votre téléphone ou d’une clé physique.
Même si un pirate obtient votre mot de passe, il ne peut pas accéder à votre compte sans ce second facteur. Activez cette option en priorité sur votre messagerie électronique, qui sert souvent à réinitialiser tous les autres mots de passe, sur vos comptes bancaires et sur vos réseaux sociaux.
Les applications d’authentification sont plus sûres que les codes par SMS, qui peuvent être interceptés dans certains cas. Mais un code par SMS vaut beaucoup mieux que rien.
Les clés d’accès
Une technologie plus récente se développe : les clés d’accès, appelées passkeys en anglais. Elles remplacent le mot de passe par une authentification liée à votre appareil, confirmée par votre empreinte digitale, la reconnaissance de votre visage ou un code de déverrouillage. Elles résistent bien à l’hameçonnage. De plus en plus de services les proposent. Elles peuvent être adoptées progressivement, compte par compte.
Que faire en cas de fuite ?
Des services en ligne permettent de vérifier si votre adresse électronique figure dans des fuites de données connues. Le plus utilisé, Have I Been Pwned, est gratuit. Beaucoup de gestionnaires de mots de passe proposent aussi cette vérification.
Si l’un de vos comptes a été compromis, changez immédiatement le mot de passe concerné, ainsi que sur tous les comptes où vous l’aviez réutilisé. Activez la double authentification. Vérifiez les paramètres de récupération du compte, comme l’adresse et le téléphone associés. Le site cybermalveillance.gouv.fr propose des fiches réflexes et une assistance pour les victimes.
Les erreurs à éviter
Réutiliser le même mot de passe sur plusieurs sites.
Noter ses mots de passe sur un papier collé à l’écran ou dans un fichier non protégé.
Communiquer un mot de passe ou un code de validation par téléphone ou par courriel, même à quelqu’un qui se présente comme votre banque.
Ignorer les mises à jour de son téléphone et de son ordinateur.
Se connecter à un compte sensible depuis un ordinateur public.
Une routine plutôt qu’un exploit
La sécurité numérique n’exige pas d’être expert. Elle repose sur quelques habitudes. Commencez par votre messagerie et votre banque : activez la double authentification et changez les mots de passe faibles. Installez ensuite un gestionnaire et migrez vos comptes progressivement. En une heure, vous aurez considérablement réduit les risques. Et vous n’aurez plus jamais à chercher quel mot de passe vous aviez choisi pour ce site oublié.
Pour aller plus loin
ANSSI, recommandations relatives à l’authentification multifacteur et aux mots de passe
Cybermalveillance.gouv.fr, fiches réflexes « Mots de passe » et « Comment réagir en cas de piratage »
CNIL, recommandations sur les mots de passe
Have I Been Pwned, service de vérification des fuites de données
Fiche de production — ne pas publier
