TL;DR
Selon le rapport Verizon DBIR 2024, 80 % des violations de données abouties résultent d’identifiants compromis. Pourtant, le mot de passe le plus utilisé dans les entreprises en 2024 reste « 123456 », devant « password » et « azerty » (NordPass 2024).
Ce chiffre ne dit pas grand-chose sur la négligence des utilisateurs. Il dit quelque chose de bien plus intéressant sur la façon dont les organisations abordent la sécurité des mots de passe : en imposant des règles, plutôt qu’en aidant les collaborateurs à comprendre ce qu’ils protègent réellement.
Chaque année, les mêmes classements circulent : les dix mots de passe les plus utilisés, les plus faciles à casser, les plus répandus dans les entreprises. Et chaque année, le constat est le même. Ce ne sont pas des listes de mots de passe faibles. Ce sont des listes de mots de passe que des millions de personnes ont choisi parce qu’ils fonctionnent, qu’ils sont faciles à saisir rapidement, et qu’ils passent généralement les critères de validation des formulaires.
Le vrai problème des mots de passe en entreprise n’est pas que les utilisateurs choisissent de mauvais mots de passe. C’est que le contexte dans lequel on leur demande d’en créer rend presque impossible d’en créer de bons. Et que personne ne leur a vraiment expliqué pourquoi ça compte.
Comment un mot de passe se retrouve entre les mains d’un attaquant ?
Il existe principalement trois façons d’obtenir le mot de passe de quelqu’un, et comprendre ces trois voies change radicalement la façon d’aborder le sujet avec des collaborateurs non techniques.
Le deviner ou l’essayer mécaniquement. Les outils d’attaque par force brute ou par dictionnaire testent des milliers, voire des millions de combinaisons par seconde. En 2024, le nombre de tentatives d’attaque ciblant les mots de passe a atteint en moyenne 7 000 tentatives par seconde dans le monde, contre 4 000 en 2023. Un mot de passe court ou prévisible tombe en quelques minutes. Un mot de passe long et aléatoire résiste des années, parfois des siècles selon sa longueur.
Le voler via le phishing ou le réseau local. Le phishing consiste à pousser un utilisateur à saisir lui-même son mot de passe sur un faux site. L’utilisateur n’a pas eu un mauvais mot de passe, il l’a simplement communiqué sans s’en rendre compte. Sur un réseau interne, des techniques comme le LLMNR/NBT-NS poisoning permettent de capturer passivement des identifiants qui transitent sur le réseau local, sans que l’utilisateur n’ait fait quoi que ce soit d’anormal. Ces deux vecteurs contournent directement l’humain, pas le système.
Le récupérer depuis une fuite. Des bases de données de millions d’identifiants compromis circulent en permanence sur le dark web. Specops a analysé plus de six milliards de mots de passe volés sur l’année 2025 dans son rapport 2026. Un collaborateur qui utilise le même mot de passe pour son compte Netflix et pour sa messagerie professionnelle expose le second au premier incident qui touche le premier.
Ces trois vecteurs ont un point commun : aucun ne se résout uniquement avec une règle de complexité.
Pourquoi les règles de complexité ont montré leurs limites
Pendant des années, la réponse standard au problème des mots de passe a été d’en imposer la complexité : au moins huit caractères, une majuscule, un chiffre, un caractère spécial, et un renouvellement obligatoire tous les quatre-vingt-dix jours. Cette approche est aujourd’hui explicitement déconseillée par l’ANSSI et par le NIST américain.
Face à des règles perçues comme contraignantes et sans logique visible, les utilisateurs développent des stratégies de contournement prévisibles. « Motdepasse1! » coche toutes les cases d’une politique de complexité classique. Il reste pourtant l’un des mots de passe les plus faciles à casser avec un dictionnaire d’attaque courant, précisément parce que ce type de pattern est systématiquement intégré dans ces dictionnaires. Le renouvellement obligatoire produit le même effet : un utilisateur contraint de changer de mot de passe tous les trois mois passe de « Printemps2023! » à « Printemps2024! » de manière parfaitement prévisible pour l’attaquant.
Combien de mots de passe un collaborateur gère-t-il réellement ?
Un salarié moyen gère entre 70 et 100 mots de passe professionnels et personnels selon les études récentes sur les habitudes numériques. Sans gestionnaire de mots de passe, il est humainement impossible de mémoriser des mots de passe longs, complexes et uniques pour chaque service. Ce qui se passe à la place est inévitable : les utilisateurs réutilisent leurs mots de passe, choisissent des formules prévisibles, ou les notent quelque part. Ce n’est pas de la négligence. C’est une réponse rationnelle à une demande impossible. Et c’est précisément pour ça que la sensibilisation qui se résume à dire « choisissez un bon mot de passe » ne fonctionne pas.
Le vrai risque : la réutilisation des mots de passe
Parmi tous les comportements à risque liés aux mots de passe, la réutilisation est probablement le plus dangereux et le moins bien compris par les utilisateurs. Voici la mécanique concrète. Un collaborateur crée un compte sur un service en ligne avec son adresse email professionnelle et un mot de passe qu’il utilise également ailleurs. Ce service est victime d’un piratage deux ans plus tard. Les identifiants compromis se retrouvent dans une base de données vendue sur le dark web. Des outils d’attaque par credential stuffing testent ces identifiants sur des dizaines de milliers de services différents, dont des portails VPN d’entreprise, des messageries professionnelles, des outils collaboratifs. Sans que l’utilisateur ni l’entreprise n’en soient informés.
Un identifiant compromis est rarement une fin en soi pour l’attaquant. Il constitue presque toujours un point de départ vers une élévation de privilèges progressive dans le système d’information. C’est ce scénario banal et industrialisé que les simulations d’ingénierie sociale menées lors de nos missions permettent de mettre en évidence concrètement. La porte d’entrée était souvent un identifiant réutilisé depuis un service externe compromis, pas une attaque sophistiquée contre le système interne.
Ce que la politique technique ne peut pas faire seule
Une politique de mots de passe bien configurée est nécessaire. Elle n’est pas suffisante, et confondre les deux est l’erreur la plus fréquente. La politique technique fixe des règles. Elle n’explique pas pourquoi ces règles existent. Elle n’aide pas l’utilisateur à comprendre ce qu’il risque concrètement si son compte est compromis. Elle ne lui montre pas à quoi ressemble un vrai email de phishing, comment détecter une tentative d’usurpation, ou ce qu’il doit faire s’il pense avoir cliqué sur quelque chose de suspect.
Le monitoring Active Directory permet de détecter des tentatives d’attaques sur les comptes et d’identifier des comportements anormaux côté authentification. Un test d’intrusion permet de mesurer concrètement combien de comptes seraient compromis par un attaquant disposant d’un premier accès au réseau. Ces deux approches interviennent après ou pendant, mais pas avant qu’un utilisateur ait communiqué ses identifiants.
Ce qui fait la différence entre une organisation où les collaborateurs sont un vecteur de risque et une organisation où ils constituent une ligne de défense réelle, c’est la compréhension. Pas la conformité à une règle, mais la compréhension de ce qui se passe quand quelque chose tourne mal. Le Shadow IT aggrave souvent ce problème : des applications non validées avec des mots de passe réutilisés multiplient les surfaces d’exposition en dehors de tout contrôle.
L’idée reçue à corriger : un mot de passe compliqué est un mot de passe sûr
C’est l’idée la plus répandue sur les mots de passe, et c’est aussi celle qui cause le plus de dégâts. « Tr0ub4dor&3 » semble compliqué. Il contient des substitutions de lettres, des majuscules et un caractère spécial. En pratique, ce type de pattern est tellement prévisible dans les dictionnaires d’attaque modernes qu’il n’offre pas beaucoup plus de résistance que le mot original.
« cheval escalier lampe nuage », en revanche, est une phrase de passe de quatre mots ordinaires. Elle ne contient aucune majuscule, aucun chiffre, aucun caractère spécial. Et sa longueur la rend exponentiellement plus difficile à casser par force brute qu’une combinaison courte et complexe. C’est précisément ce que l’ANSSI recommande depuis sa mise à jour de 2021 : privilégier la longueur sur la complexité imposée, et utiliser des phrases de passe plutôt que des mots de passe. Corriger cette idée reçue nécessite une explication, pas une contrainte technique supplémentaire.
Ce que ça change quand les collaborateurs comprennent vraiment
Les organisations qui investissent dans la sensibilisation humaine observent un changement de comportement concret, pas une conformité de surface. Un collaborateur qui a vu en atelier comment un email de phishing est construit, qui a compris pourquoi la réutilisation des mots de passe représente un risque pour son entreprise, et qui a pratiqué la détection d’une fausse page de connexion ne se comporte plus comme celui qui a simplement lu une charte informatique.
C’est l’approche que nous avons retenue dans notre formation de sensibilisation utilisateurs en présentiel, certifiée Qualiopi. En une demi-journée dans vos locaux, avec des groupes de 8 à 10 personnes, vos collaborateurs comprennent concrètement comment fonctionnent les attaques qui les visent, phishing, compromission de mots de passe, ingénierie sociale, et repartent avec des réflexes actionnables plutôt qu’une liste de règles à respecter sous contrainte.
La formation inclut quatre simulations de phishing pour mesurer l’évolution réelle du comportement des équipes dans le temps. La note de satisfaction stagiaires est de 9/10. Le taux de réussite est de 100 %. Ce ne sont pas des indicateurs de confort, ce sont des indicateurs de pertinence : une formation qui parle à ses participants de ce qu’ils vivent réellement au quotidien.
Vos collaborateurs sauront-ils reconnaître une tentative de phishing demain matin ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Pas par négligence, mais parce que le contexte les y pousse. Un collaborateur moyen gère entre 70 et 100 mots de passe. Sans gestionnaire de mots de passe, il est humainement impossible de mémoriser des mots de passe longs, complexes et uniques pour chaque service. Le résultat naturel est la réutilisation, les formules prévisibles et les compromis pratiques. La solution n’est pas de répéter la même règle plus fort, mais de donner aux collaborateurs une compréhension et des outils qui rendent le bon comportement accessible.
Il règle une partie du problème, la mémorisation et la réutilisation, à condition d’être correctement utilisé et protégé par un mot de passe principal robuste et une authentification multifacteur. Mais un gestionnaire de mots de passe ne protège pas contre le phishing : un collaborateur qui saisit ses identifiants sur une fausse page de connexion expose son compte même si son mot de passe était excellent. C’est pourquoi la sensibilisation utilisateurs reste indispensable en complément.
Non, les deux sont complémentaires. La MFA ajoute une couche de protection qui rend le compte difficile à compromettre même si le mot de passe est connu. Mais un mot de passe faible ou réutilisé reste un risque, notamment dans les contextes où la MFA ne couvre pas tous les accès. Et la MFA seule ne protège pas contre une capture d’identifiants en temps réel sur le réseau interne.
L’ANSSI et le NIST ne recommandent plus le renouvellement périodique systématique pour les comptes classiques, précisément parce que cette pratique pousse les utilisateurs vers des mots de passe prévisibles et incrémentés. Un mot de passe ne doit être changé qu’en cas de compromission avérée ou suspectée. En revanche, les comptes à privilèges, comme les accès administrateurs, restent soumis à des exigences plus strictes. Le monitoring Active Directory permet de détecter les comptes touchés et de déclencher une remise à zéro cible.
Un module e-learning peut sensibiliser un collaborateur à l’existence d’un risque. Un atelier en présentiel lui permet de voir comment une vraie tentative de phishing se construit, de pratiquer la détection d’une fausse page de connexion, de poser des questions sur des situations qu’il a réellement vécues. La différence n’est pas pédagogique, elle est comportementale : ce qu’on comprend en situation réelle s’ancre différemment de ce qu’on lit sur un écran.
La mesure la plus fiable est le comportement réel dans le temps, pas une évaluation à chaud. Les simulations de phishing répétées, envoyées à intervalles réguliers après la formation, permettent de mesurer si le taux de clics sur de faux emails diminue et si les collaborateurs adoptent les bons réflexes face à des tentatives qui évoluent. C’est précisément pour ça que notre formation sensibilisation utilisateurs inclut quatre simulations de phishing dans son programme.
80 % des violations de données résultent d’identifiants compromis. Le problème n’est pas la règle de complexité, c’est que personne ne l’a expliquée. Comment la sensibilisation change réellement les comportements.
