Cyberpediapar Brain
FRDEEN

Attaque par force brute et puissance de calcul

Comment un attaquant teste des milliers de mots de passe, en ligne ou sur une base volée, et ce que le salarié voit et peut faire.

En 30 secondes

Où ça arrive
Sur un service de connexion (messagerie, VPN, accès distant), ou hors ligne, sur des condensats de mots de passe déjà dérobés1.
Ce que veut l'attaquant
Obtenir un mot de passe en clair, utilisable pour se connecter à tous les systèmes auxquels le compte donne accès2.
Le réflexe
Un mot de passe long et unique par service, stocké dans un gestionnaire, avec la double authentification quand elle existe3.
Si c'est déjà fait
Changer immédiatement le mot de passe au moindre soupçon3.

De quoi parle-t-on

Une attaque par force brute consiste à essayer des mots de passe l'un après l'autre jusqu'à trouver le bon. Elle vise des comptes dont le mot de passe est inconnu de l'attaquant, ou des empreintes de mots de passe (des condensats) qu'il a obtenues1.

Pour un salarié, un mot de passe court ou courant tombe vite, que l'attaque vise la page de connexion de l'entreprise ou une base de données volée.

Questions directes

Qu'est-ce qu'une attaque par force brute ?

C'est une recherche systématique, par un mécanisme répétitif, d'un mot de passe inconnu1. Elle se déroule soit en interrogeant un service qui vérifie les identifiants, soit hors ligne contre des données déjà volées, comme des condensats1. Cybermalveillance.gouv.fr précise que ces attaques, réalisées par des ordinateurs, peuvent tester des dizaines de milliers de combinaisons par seconde3.

Quelle différence entre attaque en ligne et attaque hors ligne ?

En ligne, l'attaquant passe par le service de connexion, qui peut compter les échecs et bloquer. Hors ligne, il dispose déjà des condensats et travaille le plus souvent sur ses propres machines, hors du réseau de la victime2.

Mon mot de passe est-il en danger si un autre site a été piraté ?

Oui, s'il est réutilisé. Lorsqu'un site est compromis, de grandes quantités de couples identifiant et mot de passe se retrouvent parfois publiées. L'attaquant les essaie sur d'autres comptes, en comptant sur la tendance à réutiliser le même mot de passe en privé et au travail4.

Une règle de verrouillage suffit-elle ?

Non. Le password spraying contourne le verrouillage : l'attaquant essaie un seul mot de passe courant, ou une courte liste, sur de nombreux comptes, pour éviter les blocages qui frapperaient un compte visé par de nombreux essais5. Et un verrouillage trop strict peut bloquer tous les comptes visés et rendre l'environnement inutilisable1.

1Dans la peau de l'attaquant1 min

L'attaquant choisit sa méthode selon ce qu'il possède. Sans rien, il devine : il essaie une liste de mots de passe courants, avec ou sans égard pour la politique de complexité de la cible6. Ce choix est risqué pour lui, car il peut provoquer de nombreux échecs et des verrouillages6.

Avec une liste d'identifiants issus d'une fuite, il passe au credential stuffing4. Avec un seul mot de passe courant testé sur beaucoup de comptes, c'est le password spraying5. Avec des condensats, il casse les mots de passe hors ligne, par recherche systématique ou avec une table précalculée dite table arc-en-ciel2.

Les services ciblés sont souvent des services d'administration sur des ports courants : SSH, RDP, SMB ou LDAP, par exemple5. Les applications en nuage et la messagerie exposée sur Internet, comme Office 365, le sont aussi6.

Un attaquant peut aussi adapter son environnement. S'il trouve le bon mot de passe mais que des règles d'accès liées à la localisation l'arrêtent, il peut changer d'infrastructure jusqu'à correspondre à l'emplacement de la victime1.

2Ce que vous voyez à l'écran1 min

La victime d'une attaque en ligne voit surtout des effets indirects : une règle de verrouillage peut bloquer son compte1. Côté journaux, les échecs de connexion SMB produisent l'événement Windows 4625 ; les tentatives LDAP et Kerberos en déclenchent moins souvent6.

Le signal classique pour les équipes de sécurité est un grand nombre d'échecs suivi d'une réussite, depuis un utilisateur, une machine ou un horaire suspects1. Le password spraying se repère par des essais répartis sur de nombreux comptes dans un court intervalle1.

Autre signe : des demandes de validation de double authentification que vous n'avez pas déclenchées. CISA décrit la technique du « MFA bombing » ou « MFA fatigue », où l'attaquant pousse des demandes sur l'appareil de la victime jusqu'à ce qu'elle accepte7.

Après une attaque hors ligne, le signe visible est une connexion valide et soudaine depuis un compte dont les condensats avaient été volés2.

3Sous le capotÉquipes IT2 min

Un mot de passe n'est normalement pas stocké en clair, mais sous forme de condensat. La page citée est la révision SP 800-63-3 de NIST, remplacée par la SP 800-63-4 depuis le 1er août 20258. Cette révision demandait que les mots de passe soient salés puis hachés avec une fonction de dérivation de clé adaptée8. Une telle fonction prend en entrée le mot de passe, un sel et un facteur de coût, et produit le condensat8. Le sel doit faire au moins 32 bits et être choisi arbitrairement pour limiter les collisions entre condensats stockés8.

Le but de cette conception est de rendre chaque essai de l'attaquant coûteux, donc l'attaque entière chère, voire prohibitive8. Pour PBKDF2, le coût est un nombre d'itérations : plus il est élevé, plus le calcul du condensat est long, et NIST recommandait un nombre d'itérations aussi élevé que le serveur le permet, typiquement d'au moins 10 0008. NIST recommandait aussi une fonction à mémoire dure, qui augmente le coût d'une attaque8.

La puissance de calcul pèse sur ce coût. NIST relevait que les attaquants peuvent calculer plusieurs milliards de condensats par seconde sans limitation de débit, ce qui imposait des mots de passe d'une complexité supérieure de plusieurs ordres de grandeur à ceux qui ne doivent résister qu'aux attaques en ligne8. Les sources lues ne détaillent pas le rôle des processeurs graphiques (GPU) ni des circuits ASIC. MITRE mentionne seulement, parmi les signes d'un cassage de condensats, l'usage d'outils comme John the Ripper ou Hashcat avec une forte charge processeur ou un appel au GPU2.

En ligne, cette révision imposait de limiter les échecs consécutifs sur un compte à 100 au plus, et suggérait d'allonger l'attente à mesure que le plafond approche (de 30 secondes à une heure) ou d'exiger un CAPTCHA8. Côté mots de passe, elle fixait un minimum de 8 caractères et demandait de refuser ceux qui figurent sur une liste de valeurs compromises8. Cybermalveillance.gouv.fr recommande au moins 12 signes mêlant majuscules, minuscules, chiffres et caractères spéciaux3.

4AutopsiesCas réels2 min

Février 2024 : l'avis CISA sur le groupe APT29

Le 26 février 2024, CISA publie l'avis AA24-057A avec le NCSC britannique et des partenaires. Il décrit les méthodes du groupe APT29, aussi appelé Midnight Blizzard, que ces agences jugent presque certainement rattaché au SVR, service du renseignement russe7. Les méthodes décrites ont été observées durant les 12 derniers mois7.

Les campagnes précédentes ont réussi, par force brute et password spraying, à accéder à des comptes de service7. Ces comptes n'ont pas d'utilisateur humain, donc se protègent mal par double authentification, et ils sont souvent très privilégiés7. Le groupe a aussi visé des comptes dormants d'anciens salariés7. Il a utilisé des proxys résidentiels pour que ses connexions ressemblent à celles d'utilisateurs ordinaires7.

2016 : une attaque contre le réseau électrique ukrainien

Lors de l'attaque de 2016 contre le réseau électrique ukrainien, Sandworm Team a utilisé un script pour tenter une authentification RPC contre plusieurs machines1.

2025 : attaques par effacement en Pologne

Pendant les attaques de 2025 en Pologne, qui visaient à effacer des données, les assaillants ont tenté de casser des mots de passe d'utilisateurs2.

Avril 2026 : un rapport sur une intrusion assistée par IA au Mexique

MITRE cite une intrusion contre l'infrastructure du gouvernement mexicain, documentée en avril 2026. L'attaquant y a chargé Claude Code de tenter des connexions SSH par force brute1, et de casser des condensats de mots de passe de bases de données des organisations victimes2.

Fiche

Identifiant
CP-038
Aile
1. Attaques et techniques
Compétence Brain
Maîtriser ses mots de passe (master_passwords)
Réflexe Brain
cr-010
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. MITRE ATT&CK, « Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/002/ (consulté le 3 novembre 2026)
  3. Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance », 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/004/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/003/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/001/ (consulté le 3 novembre 2026)
  7. CISA, « SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA », 26 février 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consulté le 3 novembre 2026)
  8. NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026)

Citer cet article

Brain, « Attaque par force brute et puissance de calcul », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/

BibTeX 
@misc{brain_cp038_fr_2026,
  author = {Brain},
  title = {Attaque par force brute et puissance de calcul},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0