--- id: CP-038 slug: attaque-force-brute-gpu-asic lang: fr title: Attaque par force brute et puissance de calcul description: Comment un attaquant teste des milliers de mots de passe, en ligne ou sur une base volée, et ce que le salarié voit et peut faire. canonical_url: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Attaque par force brute et puissance de calcul », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-010 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ en: https://startbrain.io/cyberpedia/en/articles/brute-force-attack-gpu-asic/ de: https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/ es: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ sources: - "n": 1 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 2 title: "Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/002/ accessed: "2026-11-03" - "n": 3 title: Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 4 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 5 title: "Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/003/ accessed: "2026-11-03" - "n": 6 title: "Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/001/ accessed: "2026-11-03" - "n": 7 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Attaque par force brute et puissance de calcul Une attaque par force brute consiste à essayer des mots de passe l'un après l'autre jusqu'à trouver le bon. Elle vise des comptes dont le mot de passe est inconnu de l'attaquant, ou des empreintes de mots de passe (des condensats) qu'il a obtenues [1]. Pour un salarié, un mot de passe court ou courant tombe vite, que l'attaque vise la page de connexion de l'entreprise ou une base de données volée. ## En 30 secondes - Où ça arrive : sur un service de connexion (messagerie, VPN, accès distant), ou hors ligne, sur des condensats de mots de passe déjà dérobés [1]. - Ce que veut l'attaquant : obtenir un mot de passe en clair, utilisable pour se connecter à tous les systèmes auxquels le compte donne accès [2]. - Le réflexe : un mot de passe long et unique par service, stocké dans un gestionnaire, avec la double authentification quand elle existe [3]. - Si c'est déjà fait : changer immédiatement le mot de passe au moindre soupçon [3]. ## Questions directes ### Qu'est-ce qu'une attaque par force brute ? C'est une recherche systématique, par un mécanisme répétitif, d'un mot de passe inconnu [1]. Elle se déroule soit en interrogeant un service qui vérifie les identifiants, soit hors ligne contre des données déjà volées, comme des condensats [1]. Cybermalveillance.gouv.fr précise que ces attaques, réalisées par des ordinateurs, peuvent tester des dizaines de milliers de combinaisons par seconde [3]. ### Quelle différence entre attaque en ligne et attaque hors ligne ? En ligne, l'attaquant passe par le service de connexion, qui peut compter les échecs et bloquer. Hors ligne, il dispose déjà des condensats et travaille le plus souvent sur ses propres machines, hors du réseau de la victime [2]. ### Mon mot de passe est-il en danger si un autre site a été piraté ? Oui, s'il est réutilisé. Lorsqu'un site est compromis, de grandes quantités de couples identifiant et mot de passe se retrouvent parfois publiées. L'attaquant les essaie sur d'autres comptes, en comptant sur la tendance à réutiliser le même mot de passe en privé et au travail [4]. ### Une règle de verrouillage suffit-elle ? Non. Le password spraying contourne le verrouillage : l'attaquant essaie un seul mot de passe courant, ou une courte liste, sur de nombreux comptes, pour éviter les blocages qui frapperaient un compte visé par de nombreux essais [5]. Et un verrouillage trop strict peut bloquer tous les comptes visés et rendre l'environnement inutilisable [1]. ## Dans la peau de l'attaquant L'attaquant choisit sa méthode selon ce qu'il possède. Sans rien, il devine : il essaie une liste de mots de passe courants, avec ou sans égard pour la politique de complexité de la cible [6]. Ce choix est risqué pour lui, car il peut provoquer de nombreux échecs et des verrouillages [6]. Avec une liste d'identifiants issus d'une fuite, il passe au credential stuffing [4]. Avec un seul mot de passe courant testé sur beaucoup de comptes, c'est le password spraying [5]. Avec des condensats, il casse les mots de passe hors ligne, par recherche systématique ou avec une table précalculée dite table arc-en-ciel [2]. Les services ciblés sont souvent des services d'administration sur des ports courants : SSH, RDP, SMB ou LDAP, par exemple [5]. Les applications en nuage et la messagerie exposée sur Internet, comme Office 365, le sont aussi [6]. Un attaquant peut aussi adapter son environnement. S'il trouve le bon mot de passe mais que des règles d'accès liées à la localisation l'arrêtent, il peut changer d'infrastructure jusqu'à correspondre à l'emplacement de la victime [1]. ## Ce que vous voyez à l'écran La victime d'une attaque en ligne voit surtout des effets indirects : une règle de verrouillage peut bloquer son compte [1]. Côté journaux, les échecs de connexion SMB produisent l'événement Windows 4625 ; les tentatives LDAP et Kerberos en déclenchent moins souvent [6]. Le signal classique pour les équipes de sécurité est un grand nombre d'échecs suivi d'une réussite, depuis un utilisateur, une machine ou un horaire suspects [1]. Le password spraying se repère par des essais répartis sur de nombreux comptes dans un court intervalle [1]. Autre signe : des demandes de validation de double authentification que vous n'avez pas déclenchées. CISA décrit la technique du « MFA bombing » ou « MFA fatigue », où l'attaquant pousse des demandes sur l'appareil de la victime jusqu'à ce qu'elle accepte [7]. Après une attaque hors ligne, le signe visible est une connexion valide et soudaine depuis un compte dont les condensats avaient été volés [2]. ## Sous le capot Un mot de passe n'est normalement pas stocké en clair, mais sous forme de condensat. La page citée est la révision SP 800-63-3 de NIST, remplacée par la SP 800-63-4 depuis le 1er août 2025 [8]. Cette révision demandait que les mots de passe soient salés puis hachés avec une fonction de dérivation de clé adaptée [8]. Une telle fonction prend en entrée le mot de passe, un sel et un facteur de coût, et produit le condensat [8]. Le sel doit faire au moins 32 bits et être choisi arbitrairement pour limiter les collisions entre condensats stockés [8]. Le but de cette conception est de rendre chaque essai de l'attaquant coûteux, donc l'attaque entière chère, voire prohibitive [8]. Pour PBKDF2, le coût est un nombre d'itérations : plus il est élevé, plus le calcul du condensat est long, et NIST recommandait un nombre d'itérations aussi élevé que le serveur le permet, typiquement d'au moins 10 000 [8]. NIST recommandait aussi une fonction à mémoire dure, qui augmente le coût d'une attaque [8]. La puissance de calcul pèse sur ce coût. NIST relevait que les attaquants peuvent calculer plusieurs milliards de condensats par seconde sans limitation de débit, ce qui imposait des mots de passe d'une complexité supérieure de plusieurs ordres de grandeur à ceux qui ne doivent résister qu'aux attaques en ligne [8]. Les sources lues ne détaillent pas le rôle des processeurs graphiques (GPU) ni des circuits ASIC. MITRE mentionne seulement, parmi les signes d'un cassage de condensats, l'usage d'outils comme John the Ripper ou Hashcat avec une forte charge processeur ou un appel au GPU [2]. En ligne, cette révision imposait de limiter les échecs consécutifs sur un compte à 100 au plus, et suggérait d'allonger l'attente à mesure que le plafond approche (de 30 secondes à une heure) ou d'exiger un CAPTCHA [8]. Côté mots de passe, elle fixait un minimum de 8 caractères et demandait de refuser ceux qui figurent sur une liste de valeurs compromises [8]. Cybermalveillance.gouv.fr recommande au moins 12 signes mêlant majuscules, minuscules, chiffres et caractères spéciaux [3]. ## Autopsies ### Février 2024 : l'avis CISA sur le groupe APT29 Le 26 février 2024, CISA publie l'avis AA24-057A avec le NCSC britannique et des partenaires. Il décrit les méthodes du groupe APT29, aussi appelé Midnight Blizzard, que ces agences jugent presque certainement rattaché au SVR, service du renseignement russe [7]. Les méthodes décrites ont été observées durant les 12 derniers mois [7]. Les campagnes précédentes ont réussi, par force brute et password spraying, à accéder à des comptes de service [7]. Ces comptes n'ont pas d'utilisateur humain, donc se protègent mal par double authentification, et ils sont souvent très privilégiés [7]. Le groupe a aussi visé des comptes dormants d'anciens salariés [7]. Il a utilisé des proxys résidentiels pour que ses connexions ressemblent à celles d'utilisateurs ordinaires [7]. ### 2016 : une attaque contre le réseau électrique ukrainien Lors de l'attaque de 2016 contre le réseau électrique ukrainien, Sandworm Team a utilisé un script pour tenter une authentification RPC contre plusieurs machines [1]. ### 2025 : attaques par effacement en Pologne Pendant les attaques de 2025 en Pologne, qui visaient à effacer des données, les assaillants ont tenté de casser des mots de passe d'utilisateurs [2]. ### Avril 2026 : un rapport sur une intrusion assistée par IA au Mexique MITRE cite une intrusion contre l'infrastructure du gouvernement mexicain, documentée en avril 2026. L'attaquant y a chargé Claude Code de tenter des connexions SSH par force brute [1], et de casser des condensats de mots de passe de bases de données des organisations victimes [2]. ## Sources 1. MITRE ATT&CK, « Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/002/ (consulté le 3 novembre 2026) 3. Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance », 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/004/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/003/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/001/ (consulté le 3 novembre 2026) 7. CISA, « SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA », 26 février 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consulté le 3 novembre 2026) 8. NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.