Cyberpediapar Brain
FRDEEN

Credential stuffing

Des mots de passe volés lors d'une fuite sont testés par robots sur d'autres services. Comment l'attaque marche et comment s'en protéger.

En 30 secondes

Où ça arrive
Sur n'importe quel service avec un formulaire de connexion, y compris la messagerie, les applications en ligne de l'entreprise et les portails d'authentification unique12.
Ce que veut l'attaquant
Trouver, parmi des paires d'identifiants volées, celles qui ouvrent un compte réel, en comptant sur la réutilisation des mots de passe12.
Le réflexe
Un mot de passe différent pour chaque service, rangé dans un gestionnaire, avec la double authentification quand elle existe56.
Si c'est déjà fait
Changer sans attendre le mot de passe concerné,5.

De quoi parle-t-on

Le credential stuffing, en français la réinjection d'identifiants, consiste à prendre des paires identifiant et mot de passe volées lors d'une fuite de données, puis à les essayer automatiquement sur d'autres sites. L'OWASP le décrit comme l'injection automatisée de ces paires dans les formulaires de connexion, pour accéder frauduleusement à des comptes1.

Le salarié n'a rien à rater pour être touché : son compte n'a pas été attaqué directement. Il suffit qu'un mot de passe utilisé sur un site sans importance serve aussi ailleurs, par exemple sur la messagerie professionnelle.

Questions directes

Quelle différence avec la force brute ?

La force brute essaie plusieurs mots de passe contre un ou plusieurs comptes : l'attaquant devine. Le credential stuffing utilise des paires déjà connues, issues d'une fuite, contre d'autres sites1. L'OWASP le range comme un sous-ensemble de la force brute, et MITRE en fait la sous-technique T1110.004 de la technique « Brute Force »12.

Pourquoi ça marche ?

Parce que beaucoup de gens réutilisent le même mot de passe et le même identifiant ou la même adresse électronique. Quand ces données sont exposées, les soumettre à des dizaines ou des centaines d'autres sites peut suffire à en compromettre les comptes1. MITRE ajoute que la réutilisation touche aussi bien les comptes personnels que les comptes professionnels2.

Mon mot de passe est long et complexe : suis-je à l'abri ?

Non, s'il sert à plusieurs endroits. Selon la CISA, réutiliser un mot de passe, même robuste, met les comptes en danger autant qu'un mot de passe faible7. La longueur protège contre la devinette, pas contre la réutilisation d'un mot de passe déjà volé.

Un mot de passe réutilisé est-il la seule porte d'entrée ?

Non. L'OWASP signale que les données d'une fuite servent aussi à réinitialiser des mots de passe, surtout pour des comptes d'entreprise : les questions de sécurité, les adresses de récupération ou d'autres informations personnelles contenues dans la fuite permettent alors une prise de contrôle même sans réutilisation1.

Un compte pris peut-il servir à autre chose ?

Oui. Un compte valide permet d'entrer dans le réseau sans logiciel malveillant, ce qui rend la présence de l'attaquant plus difficile à repérer4.

1Dans la peau de l'attaquant1 min

L'attaquant commence par se procurer des identifiants : fuite d'un site, hameçonnage ou site de dépôt de mots de passe1. Il n'a pas besoin d'en vouloir à une personne en particulier. La CISA note qu'une attaque ne vise souvent pas un compte précis, mais l'accès qu'il donne pour lancer une attaque plus large7.

Il confie ensuite ces paires à des outils automatiques, qui les essaient sur de nombreux sites : réseaux sociaux, boutiques en ligne, applications web1. Une connexion réussie lui indique qu'il tient des identifiants valides1.

Reste à en tirer parti. L'OWASP cite quatre suites possibles : vider les comptes de leur valeur stockée ou faire des achats, lire des informations sensibles (numéros de carte, messages privés, documents), envoyer des messages d'hameçonnage ou du pourriel depuis le compte, revendre les identifiants valides à d'autres attaquants1.

MITRE souligne que cette méthode peut provoquer de nombreux échecs d'authentification et des verrouillages de comptes, selon la politique de l'organisation visée2. Les défenseurs, de leur côté, peuvent bloquer les demandes de connexion risquées, comme celles qui passent par des services d'anonymisation ou des proxys2.

2Ce que vous voyez à l'écran1 min

La victime voit rarement l'attaque elle-même. Elle en voit les effets, et ils sont variés selon ce que l'attaquant a décidé de faire du compte.

  • Un message du service signalant une connexion depuis un appareil inconnu. La CNIL décrit ce cas : le site prévient par SMS ou par courriel, et la personne peut autoriser ou refuser l'accès6.
  • Un compte verrouillé, après de nombreux échecs de connexion. MITRE mentionne ces verrouillages comme une conséquence possible2.
  • Des achats, des messages ou des documents touchés que le titulaire n'a pas faits ni envoyés, puisque ce sont les usages décrits par l'OWASP1.
  • Un courriel de réinitialisation de mot de passe qu'on n'a pas demandé. Cybermalveillance.gouv.fr explique pourquoi la messagerie est visée : elle reçoit les liens de réinitialisation des autres comptes, et celui qui la pirate peut utiliser la fonction « mot de passe oublié » pour prendre la main sur, par exemple, un compte bancaire5.

Aucune de ces situations ne prouve à elle seule un credential stuffing. Elles justifient toutes de changer le mot de passe et de prévenir le service informatique si le compte est professionnel.

3Sous le capotÉquipes IT1 min

L'OWASP illustre le mécanisme par un schéma : la base de données d'un site, acme.com, est compromise. L'attaquant essaie ces identifiants sur trois autres sites. Il constate qu'un utilisateur, « spongebob », réutilise son mot de passe sur deux sites et qu'une utilisatrice, « sally », le réutilise sur un site : trois comptes sont ouverts1.

Les cibles ne se limitent pas aux sites grand public. MITRE cite des services d'administration sur des ports courants (SSH, RDP, SMB, LDAP, bases de données), mais aussi l'authentification unique, les applications en nuage reposant sur des protocoles fédérés et les messageries exposées comme Office 3652. Côté détection, MITRE décrit des signaux typiques : de nombreux échecs avec des paires différentes depuis une même adresse IP en peu de temps, ou des échecs sur des applications en nuage avec des paires provenant de domaines sans rapport2.

Autre point technique : quand un attaquant connaît le bon mot de passe mais se heurte à une règle d'accès fondée sur le lieu, il peut changer d'infrastructure pour correspondre à la localisation de la victime et contourner la règle3.

Les parades côté organisation, d'après MITRE : verrouiller les comptes après un nombre d'échecs (une règle trop stricte peut bloquer des comptes légitimes), imposer l'authentification multifacteur, réinitialiser de manière proactive les comptes connus dans des fuites2. L'OWASP désigne l'authentification multifacteur comme contre-mesure principale1.

4Ce que vous faites1 min
  • Un mot de passe différent par service. Ainsi, en cas de vol, seul le service concerné est vulnérable5. La CNIL demande un mot de passe propre et unique pour chaque compte sensible (banque, messagerie, réseau social) afin d'éviter les piratages en cascade6.
  • Un gestionnaire de mots de passe, qui retient à votre place des mots de passe longs et tous différents6. Cybermalveillance.gouv.fr cite KeePassXC, certifié par l'ANSSI dans sa version 2.7.95. Le mot de passe principal du gestionnaire doit lui-même être solide7.
  • La double authentification quand le service la propose : en plus du mot de passe, une confirmation par code, application, clé ou biométrie permet que vous seul autorisiez un nouvel appareil5.
  • Un changement immédiat au moindre soupçon, ou dès qu'on apprend qu'une société où l'on a un compte a été piratée, sans attendre de savoir si c'est vrai5.
  • Un mot de passe de messagerie particulièrement robuste, puisqu'il ouvre la réinitialisation de beaucoup d'autres comptes5.

Le NCSC britannique indique par ailleurs, dans une actualité du 23 avril 2026, que les clés d'accès (passkeys) sont une méthode de connexion plus sûre et plus simple, et devraient être l'option par défaut pour les particuliers8.

5Les pièges1 min
  • Croire qu'un compte « sans importance » ne compte pas. Un mot de passe volé sur un site secondaire est testé ailleurs1.
  • Mémoriser un seul bon mot de passe et le décliner à l'identique. C'est de la réutilisation7.
  • Ranger ses mots de passe sur un pense-bête, dans sa messagerie, dans un fichier non protégé ou dans le téléphone5.
  • Enregistrer ses mots de passe dans le navigateur d'un ordinateur partagé6.
6AutopsiesCas réels1 min

L'OWASP rassemble des brèches dont l'analyse indique, selon lui, qu'elles résultent de credential stuffing. Voici quatre d'entre elles, telles qu'il les rapporte1.

Sony, 2011

Un analyste relève que, parmi les utilisateurs présents à la fois dans les données de Sony et dans celles de la brèche Gawker survenue plus tôt la même année, deux tiers avaient le même mot de passe sur les deux systèmes1.

Yahoo, 2012

L'OWASP cite Troy Hunt, qui rapproche les brèches de Sony et de Yahoo par un point commun : les mots de passe1.

Dropbox, 2012

Dropbox a indiqué que les noms d'utilisateur et mots de passe évoqués dans la presse avaient été volés sur d'autres services, pas chez lui. Des attaquants les avaient ensuite essayés sur des sites de tout l'internet, dont Dropbox1.

JPMorgan Chase, 2014

Les données de la brèche contenaient des combinaisons de mots de passe et d'adresses de participants inscrits sur le site Corporate Challenge, une plateforme de courses caritatives annuelles gérée par un prestataire extérieur, ouvertes aux employés de la banque et d'autres entreprises. L'OWASP précise que cette brèche vient d'une source distincte : des attaquants ont visé un site de courses tiers pour en tirer des identifiants à utiliser contre JPMC1.

Fiche

Identifiant
CP-036
Aile
1. Attaques et techniques
Compétence Brain
Maîtriser ses mots de passe (master_passwords)
Réflexe Brain
cr-008
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. OWASP, « Credential stuffing | OWASP Foundation ». https://community.owasp.org/attacks/Credential_stuffing (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/004/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1110/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/ (consulté le 3 novembre 2026)
  5. Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses mots de passe ? », 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consulté le 3 novembre 2026)
  6. CNIL, « Les conseils de la CNIL pour un bon mot de passe », 26 janvier 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consulté le 3 novembre 2026)
  7. CISA, « Choosing and Protecting Passwords », 21 mai 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (consulté le 3 novembre 2026)
  8. NCSC (Royaume-Uni), « Password administration for system owners », 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords (consulté le 3 novembre 2026)

Citer cet article

Brain, « Credential stuffing », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/

BibTeX 
@misc{brain_cp036_fr_2026,
  author = {Brain},
  title = {Credential stuffing},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0