--- id: CP-036 slug: credential-stuffing-reinjection-identifiants lang: fr title: Credential stuffing description: Des mots de passe volés lors d'une fuite sont testés par robots sur d'autres services. Comment l'attaque marche et comment s'en protéger. canonical_url: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Credential stuffing », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-008 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ en: https://startbrain.io/cyberpedia/en/articles/credential-stuffing-leaked-passwords/ de: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ es: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ sources: - "n": 1 title: Credential stuffing | OWASP Foundation publisher: OWASP url: https://community.owasp.org/attacks/Credential_stuffing accessed: "2026-11-03" - "n": 2 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 3 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 6 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 7 title: Choosing and Protecting Passwords publisher: CISA url: https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords published: "2009-05-21" accessed: "2026-11-03" - "n": 8 title: Password administration for system owners publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords published: "2018-11-19" accessed: "2026-11-03" --- # Credential stuffing Le credential stuffing, en français la réinjection d'identifiants, consiste à prendre des paires identifiant et mot de passe volées lors d'une fuite de données, puis à les essayer automatiquement sur d'autres sites. L'OWASP le décrit comme l'injection automatisée de ces paires dans les formulaires de connexion, pour accéder frauduleusement à des comptes [1]. Le salarié n'a rien à rater pour être touché : son compte n'a pas été attaqué directement. Il suffit qu'un mot de passe utilisé sur un site sans importance serve aussi ailleurs, par exemple sur la messagerie professionnelle. ## En 30 secondes - Où ça arrive : sur n'importe quel service avec un formulaire de connexion, y compris la messagerie, les applications en ligne de l'entreprise et les portails d'authentification unique [1][2]. - Ce que veut l'attaquant : trouver, parmi des paires d'identifiants volées, celles qui ouvrent un compte réel, en comptant sur la réutilisation des mots de passe [1][2]. - Le réflexe : un mot de passe différent pour chaque service, rangé dans un gestionnaire, avec la double authentification quand elle existe [5][6]. - Si c'est déjà fait : changer sans attendre le mot de passe concerné, [5]. ## Questions directes ### Quelle différence avec la force brute ? La force brute essaie plusieurs mots de passe contre un ou plusieurs comptes : l'attaquant devine. Le credential stuffing utilise des paires déjà connues, issues d'une fuite, contre d'autres sites [1]. L'OWASP le range comme un sous-ensemble de la force brute, et MITRE en fait la sous-technique T1110.004 de la technique « Brute Force » [1][2]. ### Pourquoi ça marche ? Parce que beaucoup de gens réutilisent le même mot de passe et le même identifiant ou la même adresse électronique. Quand ces données sont exposées, les soumettre à des dizaines ou des centaines d'autres sites peut suffire à en compromettre les comptes [1]. MITRE ajoute que la réutilisation touche aussi bien les comptes personnels que les comptes professionnels [2]. ### Mon mot de passe est long et complexe : suis-je à l'abri ? Non, s'il sert à plusieurs endroits. Selon la CISA, réutiliser un mot de passe, même robuste, met les comptes en danger autant qu'un mot de passe faible [7]. La longueur protège contre la devinette, pas contre la réutilisation d'un mot de passe déjà volé. ### Un mot de passe réutilisé est-il la seule porte d'entrée ? Non. L'OWASP signale que les données d'une fuite servent aussi à réinitialiser des mots de passe, surtout pour des comptes d'entreprise : les questions de sécurité, les adresses de récupération ou d'autres informations personnelles contenues dans la fuite permettent alors une prise de contrôle même sans réutilisation [1]. ### Un compte pris peut-il servir à autre chose ? Oui. Un compte valide permet d'entrer dans le réseau sans logiciel malveillant, ce qui rend la présence de l'attaquant plus difficile à repérer [4]. ## Dans la peau de l'attaquant L'attaquant commence par se procurer des identifiants : fuite d'un site, hameçonnage ou site de dépôt de mots de passe [1]. Il n'a pas besoin d'en vouloir à une personne en particulier. La CISA note qu'une attaque ne vise souvent pas un compte précis, mais l'accès qu'il donne pour lancer une attaque plus large [7]. Il confie ensuite ces paires à des outils automatiques, qui les essaient sur de nombreux sites : réseaux sociaux, boutiques en ligne, applications web [1]. Une connexion réussie lui indique qu'il tient des identifiants valides [1]. Reste à en tirer parti. L'OWASP cite quatre suites possibles : vider les comptes de leur valeur stockée ou faire des achats, lire des informations sensibles (numéros de carte, messages privés, documents), envoyer des messages d'hameçonnage ou du pourriel depuis le compte, revendre les identifiants valides à d'autres attaquants [1]. MITRE souligne que cette méthode peut provoquer de nombreux échecs d'authentification et des verrouillages de comptes, selon la politique de l'organisation visée [2]. Les défenseurs, de leur côté, peuvent bloquer les demandes de connexion risquées, comme celles qui passent par des services d'anonymisation ou des proxys [2]. ## Ce que vous voyez à l'écran La victime voit rarement l'attaque elle-même. Elle en voit les effets, et ils sont variés selon ce que l'attaquant a décidé de faire du compte. - Un message du service signalant une connexion depuis un appareil inconnu. La CNIL décrit ce cas : le site prévient par SMS ou par courriel, et la personne peut autoriser ou refuser l'accès [6]. - Un compte verrouillé, après de nombreux échecs de connexion. MITRE mentionne ces verrouillages comme une conséquence possible [2]. - Des achats, des messages ou des documents touchés que le titulaire n'a pas faits ni envoyés, puisque ce sont les usages décrits par l'OWASP [1]. - Un courriel de réinitialisation de mot de passe qu'on n'a pas demandé. Cybermalveillance.gouv.fr explique pourquoi la messagerie est visée : elle reçoit les liens de réinitialisation des autres comptes, et celui qui la pirate peut utiliser la fonction « mot de passe oublié » pour prendre la main sur, par exemple, un compte bancaire [5]. Aucune de ces situations ne prouve à elle seule un credential stuffing. Elles justifient toutes de changer le mot de passe et de prévenir le service informatique si le compte est professionnel. ## Sous le capot L'OWASP illustre le mécanisme par un schéma : la base de données d'un site, acme.com, est compromise. L'attaquant essaie ces identifiants sur trois autres sites. Il constate qu'un utilisateur, « spongebob », réutilise son mot de passe sur deux sites et qu'une utilisatrice, « sally », le réutilise sur un site : trois comptes sont ouverts [1]. Les cibles ne se limitent pas aux sites grand public. MITRE cite des services d'administration sur des ports courants (SSH, RDP, SMB, LDAP, bases de données), mais aussi l'authentification unique, les applications en nuage reposant sur des protocoles fédérés et les messageries exposées comme Office 365 [2]. Côté détection, MITRE décrit des signaux typiques : de nombreux échecs avec des paires différentes depuis une même adresse IP en peu de temps, ou des échecs sur des applications en nuage avec des paires provenant de domaines sans rapport [2]. Autre point technique : quand un attaquant connaît le bon mot de passe mais se heurte à une règle d'accès fondée sur le lieu, il peut changer d'infrastructure pour correspondre à la localisation de la victime et contourner la règle [3]. Les parades côté organisation, d'après MITRE : verrouiller les comptes après un nombre d'échecs (une règle trop stricte peut bloquer des comptes légitimes), imposer l'authentification multifacteur, réinitialiser de manière proactive les comptes connus dans des fuites [2]. L'OWASP désigne l'authentification multifacteur comme contre-mesure principale [1]. ## Ce que vous faites - Un mot de passe différent par service. Ainsi, en cas de vol, seul le service concerné est vulnérable [5]. La CNIL demande un mot de passe propre et unique pour chaque compte sensible (banque, messagerie, réseau social) afin d'éviter les piratages en cascade [6]. - Un gestionnaire de mots de passe, qui retient à votre place des mots de passe longs et tous différents [6]. Cybermalveillance.gouv.fr cite KeePassXC, certifié par l'ANSSI dans sa version 2.7.9 [5]. Le mot de passe principal du gestionnaire doit lui-même être solide [7]. - La double authentification quand le service la propose : en plus du mot de passe, une confirmation par code, application, clé ou biométrie permet que vous seul autorisiez un nouvel appareil [5]. - Un changement immédiat au moindre soupçon, ou dès qu'on apprend qu'une société où l'on a un compte a été piratée, sans attendre de savoir si c'est vrai [5]. - Un mot de passe de messagerie particulièrement robuste, puisqu'il ouvre la réinitialisation de beaucoup d'autres comptes [5]. Le NCSC britannique indique par ailleurs, dans une actualité du 23 avril 2026, que les clés d'accès (passkeys) sont une méthode de connexion plus sûre et plus simple, et devraient être l'option par défaut pour les particuliers [8]. ## Les pièges - Croire qu'un compte « sans importance » ne compte pas. Un mot de passe volé sur un site secondaire est testé ailleurs [1]. - Mémoriser un seul bon mot de passe et le décliner à l'identique. C'est de la réutilisation [7]. - Ranger ses mots de passe sur un pense-bête, dans sa messagerie, dans un fichier non protégé ou dans le téléphone [5]. - Enregistrer ses mots de passe dans le navigateur d'un ordinateur partagé [6]. ## Autopsies L'OWASP rassemble des brèches dont l'analyse indique, selon lui, qu'elles résultent de credential stuffing. Voici quatre d'entre elles, telles qu'il les rapporte [1]. ### Sony, 2011 Un analyste relève que, parmi les utilisateurs présents à la fois dans les données de Sony et dans celles de la brèche Gawker survenue plus tôt la même année, deux tiers avaient le même mot de passe sur les deux systèmes [1]. ### Yahoo, 2012 L'OWASP cite Troy Hunt, qui rapproche les brèches de Sony et de Yahoo par un point commun : les mots de passe [1]. ### Dropbox, 2012 Dropbox a indiqué que les noms d'utilisateur et mots de passe évoqués dans la presse avaient été volés sur d'autres services, pas chez lui. Des attaquants les avaient ensuite essayés sur des sites de tout l'internet, dont Dropbox [1]. ### JPMorgan Chase, 2014 Les données de la brèche contenaient des combinaisons de mots de passe et d'adresses de participants inscrits sur le site Corporate Challenge, une plateforme de courses caritatives annuelles gérée par un prestataire extérieur, ouvertes aux employés de la banque et d'autres entreprises. L'OWASP précise que cette brèche vient d'une source distincte : des attaquants ont visé un site de courses tiers pour en tirer des identifiants à utiliser contre JPMC [1]. ## Sources 1. OWASP, « Credential stuffing | OWASP Foundation ». https://community.owasp.org/attacks/Credential_stuffing (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/004/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/ (consulté le 3 novembre 2026) 5. Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses mots de passe ? », 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consulté le 3 novembre 2026) 6. CNIL, « Les conseils de la CNIL pour un bon mot de passe », 26 janvier 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consulté le 3 novembre 2026) 7. CISA, « Choosing and Protecting Passwords », 21 mai 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (consulté le 3 novembre 2026) 8. NCSC (Royaume-Uni), « Password administration for system owners », 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.