Un mot de passe réutilisé entre site perso et compte pro

Une fuite fournit des paires identifiant et mot de passe. L'attaquant les essaie sur des services de connexion courants, dont les accès de gestion à distance, les applications en ligne et la messagerie¹. MITRE précise que la méthode est risquée pour lui, car elle peut provoquer de nombreux échecs de connexion et des verrouillages de comptes, selon la politique de l'organisation¹. La CISA raconte le cas d'Emma, un récit d'illustration sans date. Elle reçoit l'alerte de sa banque pour un virement de 700 dollars qu'elle n'a pas demandé, puis découvre qu'elle ne peut plus ouvrir sa messagerie pour réinitialiser son mot de passe. Elle avait le même mot de passe sur les deux comptes, issu d'une fuite d'entreprise publiée en ligne⁶.

Un compte, un mot de passe. La CNIL demande de verrouiller chaque compte sensible (banque, messagerie, réseau social) avec un mot de passe propre et unique, pour éviter les piratages en cascade⁵. La CISA recommande des mots de passe d'au moins 16 caractères, aléatoires, différents pour chaque compte⁶.

Utilisez un gestionnaire de mots de passe. Il est impossible de retenir un mot de passe fort par compte, et le gestionnaire s'en charge : il les génère, les stocke et les saisit à votre place⁶. Il peut aussi signaler qu'un mot de passe a fuité⁴. Le NCSC ajoute que le remplissage automatique protège du hameçonnage, car le mot de passe ne s'affiche que sur le bon site⁴. Il ne vous reste qu'un mot de passe maître à retenir, que le NCSC conseille de protéger lui-même par la double authentification⁴. Sur un ordinateur partagé, ne laissez jamais le navigateur enregistrer un mot de passe⁵.

Activez la double authentification. Pour le NCSC, c'est la première étape, car elle protège même si le mot de passe est hameçonné ou compromis⁴. La CISA précise que les mots de passe forts ne suffisent plus seuls et que tous les moyens ne se valent pas : la clé de sécurité est la plus protectrice, le code reçu par SMS ou par e-mail la moins protectrice, à n'utiliser que faute de mieux⁷. Elle encourage aussi les salariés à l'activer sur leurs comptes personnels⁷.

Si un mot de passe a pu fuiter, changez-le sans attendre. Le NCSC demande de changer au plus vite le mot de passe de la messagerie s'il a été réutilisé, puis d'en choisir un fort et différent de tous les autres³. La CNIL attend d'un service touché par une fuite qu'il recommande à l'utilisateur de modifier les mots de passe de ses autres services s'il y avait utilisé le même⁸.

• Garder le même mot de passe sur le compte pro et sur des comptes personnels : c'est exactement le cas que décrit MITRE¹. Le NCSC parle de mot de passe qu'on n'utilise sur aucun autre compte, « either at home or at work »³.
• S'inscrire à un site personnel avec son adresse pro. L'adresse sert d'identifiant à de nombreux sites, et les listes de paires circulent avec ces adresses².
• Croire qu'un site secondaire ne compte pas. Un mot de passe est valable partout où il a été réutilisé, quel que soit le site d'où il a fuité¹.
• Se contenter d'un code par SMS ou par e-mail. C'est mieux que rien, mais c'est la forme la plus faible de double authentification⁷.
• Ne pas savoir quels mots de passe sont réutilisés. Un gestionnaire peut signaler les mots de passe faibles ou réutilisés⁶.