Pourquoi enfoncer une porte et déclencher l’alarme de la maison lorsque l’on dispose d’une clé et d’un code permettant d’entrer discrètement ? C’est cette logique qui sous-tend une tendance en matière de cybersécurité : les cybercriminels cherchent de plus en plus à dérober des mots de passe, mais aussi des jetons d’authentification et des cookies de session afin de contourner les codes d’authentification multifacteur (MFA) et d’accéder aux réseaux en se faisant passer pour des utilisateurs légitimes.

Selon Verizon, « l’utilisation d’identifiants volés » figure depuis plusieurs années parmi les méthodes les plus courantes pour obtenir un accès initial. Son rapport indique que des identifiants volés ont été utilisés dans près d’un tiers (32 %) des violations de données l’année dernière. Toutefois, s’il existe plusieurs moyens pour les acteurs malveillants de mettre la main sur des identifiants, il existe également de nombreuses possibilités de les en empêcher.

Pourquoi les identifiants sont au cœur des cyberattaques

Selon notre “Panorama ESET 2026 de la Cybersécurité PME en France : Entre Confiance et Nouvelles Réalités”, la gestion insuffisante des comptes d’accès représente 20% des failles humaines et opérationnelles. Grâce à l’accès qu’ils leur procurent aux comptes professionnels, les acteurs malveillants peuvent se fondre dans le paysage tout en préparant leur prochaine action. Celle-ci peut prendre la forme de techniques d’exploitation criminelle plus avancées, par exemple :

  • Effectuer une reconnaissance du réseau : rechercher les données, les actifs et les autorisations des utilisateurs à cibler ensuite.
  • Élever leurs privilèges, par exemple en exploitant des vulnérabilités, afin de se déplacer latéralement sur le réseau et d’atteindre les systèmes ou les référentiels de données à forte valeur.
  • Établir discrètement des communications avec un serveur de commande et de contrôle (C2) afin de télécharger des logiciels malveillants supplémentaires et d’exfiltrer des données.
  • En suivant ces différentes étapes, un adversaire peut également mener des campagnes de ransomware et d’autres attaques particulièrement efficaces.

Comment les cybercriminels mettent la main sur les mots de passe

Les acteurs malveillants ont développé diverses méthodes pour compromettre les identifiants professionnels de vos employés et, dans certains cas, même leurs codes MFA. Parmi celles-ci :

  • Phishing : des e-mails ou des SMS usurpant l’identité d’une source officielle (par exemple, le service informatique ou un fournisseur technologique). Le destinataire est incité à cliquer sur un lien malveillant qui le redirige vers une fausse page de connexion (par exemple, une fausse page Microsoft).
  • Vishing : une variante du phishing dans laquelle la victime reçoit cette fois un appel téléphonique de l’acteur malveillant. Celui-ci peut se faire passer pour le support informatique et demander à la victime de lui communiquer son mot de passe ou d’enregistrer un nouvel appareil pour l’authentification MFA sous un prétexte fallacieux. Il peut également appeler le support en prétendant être un cadre ou un employé ayant besoin d’une réinitialisation urgente de son mot de passe pour pouvoir travailler.
  • Infostealers : des logiciels malveillants conçus pour dérober des identifiants et des cookies de session sur l’ordinateur ou l’appareil de la victime. Ils peuvent être diffusés par l’intermédiaire d’un lien ou d’une pièce jointe de phishing malveillants, d’un site web compromis, d’une application mobile piégée, d’une arnaque sur les réseaux sociaux ou même d’un mod de jeu non officiel. Les infostealers auraient été à l’origine de 75 % des identifiants compromis l’année dernière.
  • Attaques par force brute : elles comprennent notamment le credential stuffing, qui consiste à tester sur des sites et applications d’entreprise des combinaisons nom d’utilisateur/mot de passe provenant de violations de données antérieures. Le password spraying consiste quant à lui à tester des mots de passe couramment utilisés sur différents sites. Des bots automatisés permettent aux cybercriminels de mener ces tentatives à grande échelle jusqu’à ce que l’une d’elles fonctionne.
  • Violations de données chez des tiers : les adversaires compromettent un fournisseur ou un partenaire qui stocke les identifiants de ses clients, par exemple un fournisseur de services managés (MSP) ou un fournisseur SaaS. Ils peuvent également acheter de grandes quantités de combinaisons d’identifiants déjà compromises afin de les réutiliser lors d’attaques ultérieures.
  • Contournement de la MFA : les techniques employées comprennent notamment le SIM swapping, le bombardement de notifications MFA, qui consiste à submerger la cible de demandes de validation afin de provoquer une « fatigue liée aux alertes » et de l’amener à en approuver une, ainsi que les attaques de type Adversary-in-the-Middle (AitM), dans lesquelles les attaquants s’interposent entre un utilisateur et un service d’authentification légitime afin d’intercepter les jetons de session MFA.

Ces dernières années ont été marquées par de nombreux exemples concrets de compromissions de mots de passe ayant entraîné des incidents de sécurité majeurs. Parmi eux :

  • Change Healthcare : lors de l’une des cyberattaques les plus importantes de 2024, le groupe de ransomware ALPHV (BlackCat) a paralysé Change Healthcare, un important fournisseur américain de technologies pour le secteur de la santé. Le groupe a utilisé des identifiants volés pour accéder à distance à un serveur sur lequel l’authentification multifacteur (MFA) n’était pas activée. Les cybercriminels ont ensuite élevé leurs privilèges, se sont déplacés latéralement au sein des systèmes et ont déployé un ransomware. L’attaque a finalement provoqué une perturbation sans précédent du système de santé et entraîné le vol de données sensibles concernant des millions d’Américains.
  • Snowflake : l’acteur malveillant à motivation financière UNC5537 a accédé aux instances de bases de données clients Snowflake de plusieurs entreprises. Des centaines de millions de clients de ces entreprises ont été touchés par cette vaste campagne de vol de données et d’extorsion. L’acteur malveillant aurait accédé à leurs environnements à l’aide d’identifiants précédemment dérobés par des logiciels malveillants de type infostealer.

Restez vigilant

Protéger les mots de passe de vos employés, renforcer la sécurité des connexions constituent des étapes incontournables de sécurité, ainsi que surveiller plus étroitement l’environnement informatique afin de repérer les signes révélateurs d’une compromission.

Une grande partie de ces objectifs peut être atteinte en adoptant une approche Zero Trust fondée sur le principe suivant : ne jamais faire confiance, toujours vérifier. Cela implique de mettre en place une authentification basée sur les risques au niveau du « périmètre », puis à différentes étapes au sein d’un réseau segmenté. Les utilisateurs et les appareils doivent être évalués et se voir attribuer un niveau de risque en fonction de leur profil, qui peut être déterminé à partir de l’heure et du lieu de connexion, du type d’appareil et du comportement observé pendant la session. Pour renforcer la protection de votre organisation contre les accès non autorisés et garantir la conformité aux réglementations, une authentification multifacteur (MFA) robuste constitue également une ligne de défense incontournable.

Cette approche doit être complétée par des programmes actualisés de formation et de sensibilisation des employés, comprenant notamment des simulations réalistes faisant appel aux techniques d’ingénierie sociale les plus récentes. Il est également important de mettre en place des politiques strictes et des outils empêchant les utilisateurs d’accéder à des sites à risque, sur lesquels des infostealers peuvent se dissimuler, ainsi que des logiciels de sécurité sur l’ensemble des serveurs, endpoints et autres appareils, et des outils de surveillance continue permettant de détecter les comportements suspects. Ces derniers vous aideront à repérer les adversaires qui auraient pu pénétrer dans votre réseau à l’aide d’identifiants compromis. Les entreprises doivent également disposer de moyens permettant de limiter les dommages qu’un compte compromis peut occasionner, notamment en appliquant le principe du moindre privilège. Enfin, la surveillance du dark web peut vous aider à vérifier si des identifiants appartenant à votre entreprise sont proposés à la vente dans les milieux cybercriminels.

Plus généralement, envisagez de faire appel à un prestataire spécialisé proposant un service de détection et de réponse managées (MDR), en particulier si votre entreprise dispose de ressources limitées. Outre un coût total de possession réduit, un fournisseur MDR réputé apporte une expertise spécialisée, une surveillance et une traque des menaces 24 heures sur 24, ainsi qu’un accès à des analystes qui maîtrisent les particularités des intrusions reposant sur des identifiants compromis et peuvent également accélérer la réponse aux incidents lorsque des comptes compromis sont détectés.